WordPress-Core-Lücke kann während Upgrades Codeausführung ermöglichen
Die NVD führt seit dem 3. November 2026 eine TOCTOU-Schwachstelle in WordPress Core unter der Kennung CVE-2026-119977. Die Lücke kann unauthentifizierten Angreifern ermöglichen, während eines vollständigen Upgrades des WordPress-Kerns Code auf dem Server auszuführen. Die NVD nennt als Frist für die erforderlichen Maßnahmen den 6. November 2026.
TOCTOU steht für „Time of Check to Time of Use“. Bei einer solchen Race Condition kann sich ein Zustand zwischen der Prüfung und der anschließenden Nutzung ändern. Nach Angaben der NVD betrifft der Fehler das Upgrade-Fenster, in dem WordPress ein vollständiges Core-Paket verarbeitet.
Als Ursache nennt die NVD vorhersehbare Staging-Pfade, die während vollständiger Core-Upgrades verwendet werden und aus dem Web erreichbar sind. Ein Angreifer ohne Anmeldung könnte diese Eigenschaft nach der Beschreibung der Datenbank ausnutzen, um im genannten Upgrade-Zeitraum Code auf dem Server auszuführen. Die NVD macht keine weiteren Angaben zu den Voraussetzungen für einen erfolgreichen Angriff.
Die NVD nennt in ihrem Eintrag keine betroffenen WordPress-Versionen. Der Eintrag berichtet außerdem nicht über eine Ausnutzung der Schwachstelle in freier Wildbahn. Damit lässt sich aus der vorliegenden Warnung weder eine Versionsabgrenzung noch eine Aussage über bereits beobachtete Angriffe ableiten.
Betreiber sollen nach Angaben der NVD die Gegenmaßnahmen des Herstellers umsetzen. Dabei sollen sie die Vorgaben der US-Behörde CISA zur risikobasierten Priorisierung von Sicherheitsupdates aus BOD 26-04 sowie die Anforderungen aus CISA’s „Forensics Triage Requirements“ berücksichtigen.
Die NVD fordert Verantwortliche außerdem auf, die Internet-Exposition jedes Assets zu bewerten und die für das jeweilige Asset geltenden Patch-Vorgaben aus BOD 26-04 einzuhalten. Für Cloud-Dienste sollen die entsprechenden BOD-26-04-Vorgaben beachtet werden. Wenn keine Gegenmaßnahmen verfügbar sind, soll die Nutzung des Produkts nach Angaben der NVD eingestellt werden.