تُرجم من الإنجليزية بواسطة TechUpscale بمساعدة الذكاء الاصطناعي، وتمت مراجعته مقابل النص الأصلي. اقرأ النص الأصلي بالإنجليزية
أضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الثغرة CVE-2026-119977، وهي ثغرة سباق التنافس بين فحص الوقت واستخدام الوقت (TOCTOU) في نواة WordPress، إلى كتالوج الثغرات الأمنية المستغلة المعروفة (KEV) في 3 نوفمبر 2026. وتضيف CISA أي ثغرة إلى الكتالوج عندما تتوفر لديها أدلة موثوقة على أن المهاجمين يستغلونها في الهجمات الفعلية.
ما تقوله وكالة CISA
تحتوي نواة WordPress على ثغرة سباق تنافس بين فحص الوقت واستخدام الوقت (TOCTOU) والتي قد تسمح للمهاجمين غير المصادق عليهم بتنفيذ تعليمات برمجية على الخادم أثناء فترة الترقية. ويرجع ذلك إلى مسارات التخزين المؤقت التي يمكن الوصول إليها عبر الويب والتي تُستخدم أثناء ترقيات الحزمة الكاملة للنواة.
— إدخال كتالوج KEV التابع لوكالة CISA للثغرة CVE-2026-119977
حقائق رئيسية
| CVE | CVE-2026-119977 |
|---|---|
| المورد / المنتج | WordPress Core |
| تاريخ الإضافة إلى KEV | 3 نوفمبر 2026 |
| الموعد النهائي الفيدرالي | 6 نوفمبر 2026 |
| استخدام برمجيات الفدية المعروفة | غير معروف |
| موضع الضعف (CWE) | CWE-367 |
| فرز الأدلة الجنائية لـ CISA | نعم |
| درجة CVSS الأساسية (NVD) | 8.1 عالي |
| متجه CVSS | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
من يجب عليه التحرك ومتى
تُطلب من وكالات الفرع التنفيذي المدني الفيدرالي الأمريكي معالجة الثغرة الأمنية بحلول 6 نوفمبر 2026. وتحث CISA جميع المؤسسات على إعطاء الأولوية للثغرات المدرجة في كتالوج KEV كجزء من إدارة الثغرات الأمنية لديها.
الإجراء المطلوب من CISA لهذا الإدخال:
تطبيق التخفيفات وفقاً لتعليمات المورد، مع ضمان الامتثال لتوجيهات CISA BOD 26-04 “إعطاء الأولوية للتحديثات الأمنية بناءً على المخاطر” (انظر عنوان URL في الملاحظات) ومتطلبات “فرز الأدلة الجنائية” الخاصة بـ CISA (انظر عنوان URL في الملاحظات). اتبع إرشادات BOD 26-04 المعمول بها لخدمات الحوسبة السحابية أو أوقف استخدام المنتج إذا لم تتوفر التخفيفات. أصحاب المصلحة مسؤولون عن تقييم تعرض كل أصل للإنترنت وضمان الالتزام بإرشادات التحييد الخاصة بـ BOD 26-04.
المراجع
- كتالوج الثغرات الأمنية المستغلة المعروفة من CISA https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- قاعدة البيانات الوطنية للضعف التابعة لمعهد NIST — CVE-2026-119977 https://nvd.nist.gov/vuln/detail/CVE-2026-119977
- wordpress.org https://wordpress.org/news/2026/10/wordpress-7-1-4
- www.wordfence.com https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-core-470-713-unauthenticated-upgrade-window-staged-installer-remote-code-execution
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk