Traduit de l’anglais par TechUpscale à l’aide de l’IA et vérifié par rapport à l’original. Lire l’original en anglais
L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté CVE-2026-119977, une vulnérabilité de type condition de concurrence (TOCTOU – Time-of-check Time-of-use) dans WordPress Core, à son catalogue des vulnérabilités exploitées connues (KEV) le 3 novembre 2026. La CISA intègre une faille à ce catalogue lorsqu’elle dispose de preuves fiables indiquant que des attaquants l’exploitent activement.
Ce que déclare la CISA
WordPress WordPress Core contient une vulnérabilité de type condition de concurrence TOCTOU (time-of-check time-of-use) qui pourrait permettre à des attaquants non authentifiés d’exécuter du code sur le serveur pendant la fenêtre de mise à niveau. Cela est dû à des chemins de staging prédictibles et accessibles via le Web, utilisés lors des mises à niveau complètes du package du noyau.
— Entrée du catalogue KEV de la CISA pour CVE-2026-119977
Faits marquants
| CVE | CVE-2026-119977 |
|---|---|
| Fournisseur / produit | WordPress Core |
| Ajout au KEV | 3 novembre 2026 |
| Date limite fédérale | 6 novembre 2026 |
| Utilisation de ransomware connue | Inconnue |
| Faiblesse (CWE) | CWE-367 |
| Tri forensique de la CISA | Oui |
| Score de base CVSS (NVD) | 8.1 Élevé |
| Vecteur CVSS | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Qui doit agir et dans quel délai
Les agences de la branche exécutive civile fédérale des États-Unis sont tenues de remédier à cette vulnérabilité d’ici le 6 novembre 2026. La CISA demande instamment à toutes les organisations de donner la priorité aux failles répertoriées dans le catalogue KEV dans le cadre de leur gestion des vulnérabilités.
Action requise par la CISA pour cette entrée :
Appliquez les mesures d’atténuation conformément aux instructions du fournisseur, en veillant à respecter la directive BOD 26-04 de la CISA intitulée « Prioritizing Security Updates Based on Risk » (voir l’URL dans les notes) et les exigences de tri forensique de la CISA (« Forensics Triage Requirements », voir l’URL dans les notes). Suivez les directives applicables de la BOD 26-04 pour les services cloud ou cessez d’utiliser le produit si aucune mesure d’atténuation n’est disponible. Les parties prenantes sont responsables de l’évaluation de l’exposition Internet de chaque actif et du respect des directives de correctifs de la BOD 26-04.
Références
- CISA Known Exploited Vulnerabilities Catalog https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NIST NVD — CVE-2026-119977 https://nvd.nist.gov/vuln/detail/CVE-2026-119977
- wordpress.org https://wordpress.org/news/2026/10/wordpress-7-1-4
- www.wordfence.com https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-core-470-713-unauthenticated-upgrade-window-staged-installer-remote-code-execution
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk
- www.cisa.gov https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk