ב-30 באוקטובר רשמה Previdian שלושה ניסיונות מוזרים במלכודות הדבש שלה: מישהו ביקש קובץ PHP מתוך תיקייה שאמורה להתקיים שניות ספורות, בתוך מסלול העדכון של WordPress. ארבעה ימים אחר כך CVE-2026-119977 נכנסה לקטלוג החולשות המנוצלות בפועל של CISA, בציון 8.1. החלון היחיד שבו היא פועלת הוא הרגע שבו האתר מתקין עדכון ליבה.

סקירה כללית

כש-WordPress מתקין עדכון ליבה מלא הוא אינו מחליף את הקבצים במקומם. הוא פורש את החבילה לתיקייה תחת wp-content/upgrade ורק אחר כך מעביר את הקבצים לייעודם. בתוך החבילה הפרושה יושב גם setup-config.php, מסך ההתקנה שמבקש פרטי מסד נתונים כשמקימים אתר חדש. עד גרסה 7.1.3 שם התיקייה היה wordpress ועוד מספר הגרסה, כלומר אפשר לחשב אותו מראש, והוא נגיש מהדפדפן.

מי שפונה לנתיב הזה בשניות שבהן הוא קיים מגיע למתקין שנטען מהקבצים של עצמו, לפני שהאתר העמיד אותם במקומם. זאת גם הסיבה שתוסף אבטחה באתר אינו רואה את הבקשה: המתקין המבוים אינו נטען דרך התצורה של האתר הפעיל. זה מרוץ בין רגע ההכנה לרגע השימוש, בקיצור TOCTOU.

מזהה: CVE-2026-119977
סוג: TOCTOU (CWE-367) שמוביל להרצת קוד מרחוק
מוצר: ליבת WordPress
גרסאות מושפעות: 4.7 עד 7.1.3
גרסה מתוקנת: 7.1.4
ניצול בפועל: כן, ברשימת ה-KEV של CISA מ-3 בנובמבר 2026

ציר זמן

28 באוקטובר 2026: WordPress 7.1.4 יוצאת כגרסת אבטחה ומתקנת את החולשה, שדווחה בידי Umut Bayram.
30 באוקטובר 2026: Previdian רושמת שלושה ניסיונות ניצול במלכודות הדבש שלה, מכתובת שמשויכת לבריטניה.
31 באוקטובר 2026: הרשומה מתפרסמת ב-NVD בציון 8.1, ובאותו יום יוצא הניתוח של ThreatDefence.
3 בנובמבר 2026: CISA מכניסה את החולשה ל-KEV וקובעת לגופים הפדרליים מועד תיקון ל-6 בנובמבר.

איך הניצול עובד

הניצול של ה-TOCTOU כאן אינו דורש תחכום אלא עקשנות. התוקף מבקש שוב ושוב את אותו נתיב ומחכה שהאתר יתחיל להתעדכן. ברגע שהחבילה נפרשת, הבקשה מחזירה 200 במקום 404, והמתקין המבוים עולה. משם אפשר לכתוב wp-config.php חדש בתוך העותק הפרוש, ותהליך העדכון עצמו מעביר אותו על הקובץ החי. לפי ThreatDefence, Wordfence ספרה יותר מ-18,500 בקשות לנתיבי ההתקנה ב-21 השעות הראשונות מהפרסום. אלה ניסיונות שנחסמו, לא פריצות מאומתות.

ניתוח ציון ה-CVSS

ציון CVSS: 8.1

הציון ב-NVD הגיע מ-Wordfence, שמשמשת רשות ה-CVE של עולם ה-WordPress, ומה שמחזיק אותו מתחת ל-9 הוא דרישה אחת: צריך לתפוס חלון של שניות. חשבון באתר לא נדרש, לחיצה של אף אחד לא נדרשת, וההשפעה הטכנית, לפי CISA, מלאה.

איפה למצוא Proof of Concept (PoC)

הניתוח המפורט ביותר שפורסם עד כה הוא הכתבה של ThreatDefence מאת Anton Guzhevskiy, שמפרטת את מבנה הנתיב המבוים ואת שורות היומן שמעידות על ניסיון. PoC פומבי עלה ל-GitHub ב-4 בנובמבר, ולפי אותו ניתוח קיים גם ריפו שמתיימר לעקוף את התיקון, אין בו קוד, והוא נראה כמו פיתיון להפצת נוזקה.

7.1.4 מתקנת את המרוץ בכמה דרכים, והמרכזית היא 16 תווים מקריים שנוספים לשם התיקייה. כלומר חלק מההגנה הוא שהתוקף לא יידע לאן לפנות, וזה עובד רק כל זמן שאתם באמת על 7.1.4.