أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) تحذيرًا بشأن الاستغلال الفعلي لثغرة في نواة WordPress، تم تحديدها كـ CVE-2026-119977. تسمح هذه الثغرة بتنفيذ التعليمات البرمجية عن بُعد أثناء تحديثات النواة دون الحاجة إلى مصادقة المستخدم.

تؤثر الثغرة على إصدارات WordPress من 4.7 حتى 7.1.3 وتم تعيين درجة CVSS لها بـ 8.1، مما يشير إلى خطورة عالية. تم اكتشافها من قبل الباحث الأمني Umut Bayram في Picus Security.

أصدرت WordPress الإصدار 7.1.4 في 28 أكتوبر 2026 لتخفيف الثغرة. أضافت CISA الثغرة إلى كتالوج الثغرات المستغلة المعروفة في 3 نوفمبر 2026، مؤكدة استغلالها في البرية.

وُصفت الثغرة بأنها حالة سباق تتطلب توقيتًا دقيقًا لاستغلال الملفات المؤقتة للتحديث أثناء عملية التحديث. أفادت Wordfence بوجود أكثر من 240,000 طلب يستهدف الثغرة بعد فترة وجيزة من إصدار الإصلاح الأمني.

توصي WordPress بحظر الوصول إلى الويب إلى دليل wp-content/upgrade قبل إجراء التحديثات كإجراء احترازي. لا يحدد تحذير CISA الجهات المهاجمة أو عدد المواقع المخترقة.