WordPress: falla RCE nel core durante gli aggiornamenti, in CISA KEV dal 3 novembre

Wordfence segnala che gli attacchi contro una falla RCE nel core di WordPress sono partiti lo stesso giorno della sua divulgazione, il 28 ottobre 2026, con il picco di tentativi tra il 29 ottobre e il 1° novembre. Per chi gestisce hosting WordPress su larga scala, la notizia conta perché la vulnerabilità non riguarda un plugin di terze parti ma il meccanismo di aggiornamento del core stesso.

Cosa dice il bollettino

Il 28 ottobre 2026 il WordPress Security Team ha rilasciato la versione 7.1.4, insieme a release di sicurezza retroportate per i branch più vecchi, risolvendo diversi problemi di sicurezza, in particolare una vulnerabilità di Remote Code Execution non autenticata nel core di WordPress, identificata come CVE-2026-119977. La falla colpisce le versioni del core da 4.7 a 7.1.3 e può essere sfruttata da attaccanti non autenticati per eseguire codice sul server durante un aggiornamento del core, con conseguente compromissione completa del sito.

Wordfence, in qualità di CVE Numbering Authority, ha assegnato alla falla un punteggio CVSS 3.1 di 8.1 (High), basato su una race condition di tipo time-of-check time-of-use (TOCTOU) nel processo di aggiornamento di WordPress. WordPress.org, nel proprio avviso, la classifica invece come Low: una differenza che vale la pena notare quando si decide la priorità della patch.

Come funziona e cosa ha cambiato la 7.1.4

Durante un aggiornamento completo del core, WordPress estrae temporaneamente il nuovo pacchetto in una posizione di staging raggiungibile dal web, sotto la directory wp-content/upgrade, prima di sostituire l'installazione esistente. La finestra di attacco è breve: si tratta di una race condition difficile da sfruttare, exploitabile solo durante il breve intervallo in cui è in corso un aggiornamento del core. Secondo l'analisi di Hostingseekers, la 7.1.4 aggiunge 16 caratteri casuali ai nomi delle cartelle temporanee, ripristina la protezione dell'index.php e impedisce che wp-config.php venga copiato dalla directory di lavoro.

Scadenze e azioni consigliate

CISA ha inserito la falla nel catalogo KEV il 3 novembre 2026, con scadenza di rimedio fissata al 6 novembre 2026 per le agenzie federali USA. Per chi gestisce hosting WordPress, la priorità pratica resta aggiornare subito alla 7.1.4 (o alla patch del proprio branch, risalendo fino alla 4.7) e, nel frattempo, bloccare a livello di web server l'accesso HTTP a wp-content/upgrade/. Su GitHub circola già un proof-of-concept pubblico per la falla, il che riduce ulteriormente il margine per rimandare l'aggiornamento.