סוכנות הסייבר האמריקאית CISA הוסיפה ביום שלישי, לפי הדיווחים, פגיעות בליבת מערכת ניהול התוכן וורדפרס לקטלוג הפגיעויות שמנוצלות בפועל בתקיפות (KEV), על סמך ראיות לניצול פעיל. הפגיעות, CVE-2026-119977, מאפשרת לתוקף שלא הזדהה להריץ קוד על השרת, אבל רק בחלון זמן מסוים: בזמן שהאתר מבצע עדכון של ליבת וורדפרס.
מבחינה טכנית מדובר ב"מרוץ תהליכים" (race condition): במהלך עדכון, וורדפרס מחלצת עותק זמני של הקבצים לתיקייה wp-content/upgrade, ותוקף שמצליח "לנצח במרוץ" מול החילוץ יכול להגיע להרצת קוד. בגלל התזמון המדויק שנדרש, וורדפרס עצמה דירגה את החומרה כנמוכה, אבל Wordfence, שהקצתה את מספר ה-CVE, נתנה ציון 8.1 מתוך 10.
הפגיעות קיימת בגרסאות 7.1.0 עד 7.1.3 ו-7.0.0 עד 7.0.7, ותוקנה בגרסה 7.1.4, שיצאה ב-28 באוקטובר, ובגרסה 7.0.8 לענף הישן. לפי דיווח אחד, תוקפים התחילו לסרוק אתרים בחיפוש אחר התיקייה הפגיעה תוך שעות מפרסום התיקון. הסוכנויות הפדרליות בארה"ב נדרשו לתקן עד יום שישי.
וורדפרס מפעילה בערך שני חמישים מכלל האתרים ברשת, כולל אינספור אתרים ישראליים של עסקים קטנים. ההמלצה פשוטה: לוודא שהאתר מעודכן לגרסה 7.1.4 או 7.0.8, ולהשאיר עדכונים אוטומטיים פעילים. מי שמנהל אתר דרך חברת אחסון כדאי שיבדוק מולה שהעדכון אכן בוצע.
