WordPress: פגיעות עדכון מנוצלת בתקיפות

WordPress: פגיעות בתהליך העדכון מנוצלת להרצת קוד בשרתים, מזהירה CISA

גבוהה CVE-2026-119977 WordPress PHP Apache Nginx Linux

ב-3 בנובמבר 2026 הוסיפה CISA לקטלוג הפגיעויות המנוצלות באופן פעיל את CVE-2026-119977, מצב מרוץ בעדכוני הליבה של WordPress המאפשר לתוקף ללא חשבון להריץ קוד בשרת בזמן העדכון. ‏WordPress תיקנה אותה בגרסה 7.1.4 שפורסמה ב-28 באוקטובר; הגרסאות 4.7 עד 7.1.3 מושפעות.

מה קרה

ב-3 בנובמבר 2026 הכניסה סוכנות CISA האמריקנית את הפגיעות CVE-2026-119977 בליבת WordPress לקטלוג KEV, ובכך אישרה שהיא משמשת בתקיפות. לסוכנויות הפדרליות יש עד 6 בנובמבר לתקן אותה, ועליהן גם לבצע בדיקה פורנזית. ‏WordPress סגרה את הבעיה בגרסה 7.1.4, שיצאה ב-28 באוקטובר יחד עם אחד-עשר תיקוני אבטחה נוספים, ותיארה אותה כחולשה בתהליך העדכון שעלולה להוביל להרצת קוד מרחוק בחלון העדכון.

איך התוקפים נכנסים

לפי רשומת ה-CVE שפרסמה Wordfence, עדכוני ליבה מלאים משתמשים בנתיבי ביניים צפויים ונגישים מהאינטרנט. תוקף שמנצח במרוץ (פגיעות מסוג time-of-check to time-of-use, בדירוג 8.1 לפי CVSS 3.1) יכול להריץ קוד בשרת ללא חשבון כלשהו בזמן שהעדכון מתבצע. כל הענפים מ-4.7.0 עד 7.1.3 פגיעים. התקיפה מורכבת אך ממשית: לפי BleepingComputer, ‏Wordfence חסמה 13,095 ניסיונות בתוך 24 שעות.

מה לעשות עכשיו

בדקו את הגרסה של כל אתר: wp core version באמצעות WP-CLI, או לוח הבקרה > עדכונים.
עדכנו ל-7.1.4 (wp core update). לענפים ישנים, ‏WordPress מציינת שהיא מפרסמת תיקונים מוסבים עד 4.7: התקינו את הגרסה העדכנית של הענף שלכם ותכננו מעבר ל-7.1.
כאמצעי זהירות, חסמו גישה מהאינטרנט לתיקייה wp-content/upgrade/ (location ^~ /wp-content/upgrade/ { deny all; } ב-Nginx, Require all denied ב-Apache), שאף מבקר אינו צריך.
חפשו עקבות: הריצו wp core verify-checksums, חפשו קובצי PHP בתיקייה wp-content/upgrade/, חשבונות מנהל לא מוכרים וקבצים ששונו לאחרונה, ובדקו את יומני השרת סביב העדכונים האחרונים.

הדעה שלנו

כאן נקודת התורפה הייתה תהליך העדכון עצמו: לא מספיק לעדכן, צריך להגן גם על הרגע שבו העדכון מותקן. באתרי חברות כדאי לעדכן באופן מבוקר, לחסום גישה מהאינטרנט לתיקיות העבודה ולבדוק את שלמות הקבצים אחרי כל עדכון.