Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Una vulnerabilità critica in WordPress Core consente agli hacker di eseguire codice PHP sui server senza autenticazione sfruttando una finestra temporale durante l'aggiornamento del CMS. La CISA ha inserito CVE-2026-119977 nel catalogo KEV, mentre Wordfence ha registrato quasi 63.000 tentativi di sfruttamento in sole 24 ore. La versione corretta è WordPress 7.1.4.
L’Agenzia per la Sicurezza Cibernetica e la Protezione delle Infrastrutture degli Stati Uniti (CISA) ha avvertito che i malintenzionati stanno sfruttando la vulnerabilità CVE-2026-119977 nel core di WordPress. Il bug consente l‘esecuzione di codice senza autenticazione durante l’aggiornamento del motore, e gli esperti di Wordfence scrivono che in sole 24 ore hanno bloccato quasi 63.000 tentativi di sfruttamento.
La vulnerabilità CVE-2026-119977 ha ottenuto un punteggio di 8,1 sulla scala CVSS e colpisce WordPress Core dalla versione 4.7 alla 7.1.3. Il problema è stato scoperto da un ricercatore di Picus Security, e la correzione è stata inclusa nella versione WordPress 7.1.4, rilasciata il 28 ottobre 2026.
Alla base del CVE-2026-119977 c’è una condizione di gara del tipo Time-of-check Time-of-use (TOCTOU). Durante un aggiornamento completo di WordPress, infatti, viene estratta la nuova versione in una directory prevedibile all’interno di wp-content/upgrade, dove finiscono anche i file dell’installatore. Il problema è che su molti server la cartella temporanea è accessibile da Internet.
Di conseguenza, se un attaccante riesce a contattare setup-config.php nel breve lasso di tempo in cui WordPress non ha ancora eliminato i file temporanei, potrà interagire con l’installer e ottenere l’esecuzione di codice PHP sul server.
Secondo i dati degli esperti di Wordfence, questo periodo dura di solito solo pochi secondi, quindi lo sfruttamento della vulnerabilità richiede un calcolo preciso. Tuttavia, i malintenzionati aggirano questo limite inviando continuamente richieste ai percorsi presunti dei file temporanei. I ricercatori scrivono che solo 21 ore dopo la divulgazione delle informazioni sul bug hanno registrato oltre 18.500 richieste a setup-config.php nelle cartelle temporanee. In seguito, in sole 24 ore, sono stati bloccati 62.969 tentativi di sfruttamento di CVE-2026-119977.
Il 3 novembre 2026, il CISA ha inserito il bug nel catalogo delle vulnerabilità conosciute e sfruttate (KEV) e ha obbligato le agenzie federali degli Stati Uniti a installare le correzioni entro il 6 novembre.
Gli amministratori di WordPress sono invitati ad aggiornare il prima possibile alla versione 7.1.4 e a controllare i log per eventuali accessi sospetti ai file PHP in wp-content/upgrade. È inoltre consigliabile cercare account amministratori sospetti, plugin e file PHP che potrebbero essere comparsi dopo il compromesso del sito.
RHC4Edu nasce dalla volontà della community di Red Hot Cyber di portare la cultura della cybersecurity, dell’intelligenza artificiale e del digitale direttamente nelle scuole, mettendo gratuitamente a disposizione degli studenti l’esperienza di professionisti, ricercatori e specialisti del settore. Il progetto è ufficialmente operativo e permette agli istituti interessati di richiedere workshop gratuiti e incontri con gli esperti della community, attraverso un coordinamento della redazione che mette in relazione le esigenze della scuola con le competenze e la disponibilità dei professionisti presenti sul territorio.
L’obiettivo di RHC4Edu non è trasformare gli studenti in tecnici informatici, ma aiutarli a sviluppare consapevolezza e pensiero critico davanti a un mondo sempre più digitale. Cybersecurity, truffe online, privacy, social network, cyberbullismo, fake news e intelligenza artificiale diventano così argomenti da affrontare con esempi concreti e con il contributo diretto di chi lavora quotidianamente nel settore. Un’iniziativa costruita sulla condivisione della conoscenza e sul volontariato della community, perché portare queste competenze nelle aule significa anche offrire ai ragazzi la possibilità di conoscere nuove professioni, sviluppare curiosità e imparare a vivere la tecnologia in modo più sicuro e consapevole.
Prenota il tuo workshop gratuito con gli esperti di Red Hot Cyber.