CVE-2026-119977 — WordPress : exécution de code
CVE-2026-119977 concerne les installations WordPress Core des branches vulnérables entre 4.7 et 7.1.3 : un attaquant non authentifié peut exécuter du code sur le serveur pendant une mise à niveau complète du cœur. Urgence : la vulnérabilité figure dans le catalogue CISA des vulnérabilités exploitées, avec un ajout le 3 novembre 2026 et une échéance au 6 novembre 2026 dans ce cadre. L’entrée demande également un triage forensique ; ces éléments ne prouvent pas une compromission locale.
Tri IA initial, TL;DR français sourcé et revue séparée ; champs absents : inconnu.
Composant : WordPress
Versions : WordPress Foundation WordPress : 25 versions listées par le CNA, dont 4.7.0 → ≤ 4.7.38, 4.8.0 → ≤ 4.8.33, 4.9.0 → ≤ 4.9.34, 5.0.0 → ≤ 5.0.30, 5.1.0 → ≤ 5.1.27, 5.2.0 → ≤ 5.2.29, 5.3.0 → ≤ 5.3.26, 5.4.0 → ≤ 5.4.24, 5.5.0 → ≤ 5.5.23, 5.6.0 → ≤ 5.6.22 … (liste complète dans l’enregistrement CVE)
Priorité éditoriale : critique
CVE : CVE-2026-119977
Date source : 2026-10-31T05:33:07.059Z
Référence — titre original
WordPress Core 4.7.0 – 7.1.3 – Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution
Citation originale (en, non traduite)
WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.
Avis de l’éditeur : inconnu sauf référence explicitement acquise.
Priorité critique — analyse et éléments sourcés
Résumé opérationnel (TL;DR)
CVE-2026-119977 concerne les installations WordPress Core des branches vulnérables entre 4.7 et 7.1.3 : un attaquant non authentifié peut exécuter du code sur le serveur pendant une mise à niveau complète du cœur.
WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.
Urgence : la vulnérabilité figure dans le catalogue CISA des vulnérabilités exploitées, avec un ajout le 3 novembre 2026 et une échéance au 6 novembre 2026 dans ce cadre. L’entrée demande également un triage forensique ; ces éléments ne prouvent pas une compromission locale.
"cveID": "CVE-2026-119977", "cwes": ["CWE-367"], "dateAdded": "2026-11-03", "dueDate": "2026-11-06", "forensicTriage": "Yes"
Impact
L’exécution de code menace le serveur hébergeant WordPress. Le score CVSS 3.1 fourni est de 8,1, de sévérité élevée, avec des impacts élevés sur la confidentialité, l’intégrité et la disponibilité ; il ne mesure pas des dommages effectivement observés.
{"baseScore": 8.1, "baseSeverity": "HIGH", "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H", "version": "3.1"}
L’utilisation dans des campagnes de rançongiciel reste inconnue selon l’entrée CISA.
"knownRansomwareCampaignUse": "Unknown"
Mécanisme et prérequis
Le mécanisme est une condition de concurrence entre vérification et utilisation (TOCTOU) : les chemins de préparation des mises à niveau complètes sont prévisibles et accessibles par le Web, ouvrant une fenêtre d’exécution de code sans authentification. Les exploitants de sites utilisant les versions vulnérables sont exposés pendant cette fenêtre.
WordPress WordPress Core contains a time-of-check time-of-use (TOCTOU) race condition vulnerability that could allow unauthenticated attackers to execute code on the server during the upgrade window. This is due to predictable, web-accessible staging paths used during full-package core upgrades.
Le vecteur CVSS décrit une attaque par le réseau, de complexité élevée, sans privilèges ni interaction utilisateur requis.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Indicateurs publiés par l’éditeur
Non établi par les sources acquises.
Mesures documentées
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes).
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes).
Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Aucune annexe présentée comme intégrale : consulter l’avis officiel lié.
Attribution : avis officiel de l’éditeur, sans corroboration indépendante alléguée. La date d’ajout au catalogue KEV n’est pas une date de divulgation. Les échéances CISA affichées ne constituent pas des obligations universelles.
Correctifs et versions — texte original de l’éditeur, non traduit
Vendor references: https://www.wordfence.com/threat-intel/vulnerabilities/id/4b4da0cf-d9f4-47c4-a0e8-6c4dc5a6f250?source=cve ; https://core.trac.wordpress.org/browser/tags/7.1.3/src/wp-admin/includes/class-wp-upgrader.php#L378 ; https://core.trac.wordpress.org/browser/tags/7.1.3/src/wp-admin/includes/class-core-upgrader.php#L162