CISA: Sårbarhet i WordPress-oppdateringer blir aktivt utnyttet

Det amerikanske cybersikkerhetsbyrået CISA (Cybersecurity and Infrastructure Security Agency) kunngjorde tirsdag 3. november at sårbarheten CVE-2026-119977 i WordPress Core er lagt til byråets katalog over kjente, utnyttede sårbarheter (Known Exploited Vulnerabilities, KEV). Ifølge CISA skjer det «based on evidence of active exploitation» («på bakgrunn av bevis for aktiv utnyttelse», vår oversettelse). CISA forklarer ikke hva bevisene består av.

Samme dag sendte det belgiske cybersikkerhetssenteret CCB ut et varsel der det skriver at sårbarheten «is being actively exploited» («blir aktivt utnyttet»), og ber om at den blir rettet straks.

WordPress er et åpent publiseringssystem som mange bedrifter, organisasjoner og offentlige virksomheter bruker til nettsidene sine.

Dette er feilen

CISA skriver i katalogoppføringen at feilen «could allow unauthenticated attackers to execute code on the server during the upgrade window» («kan la angripere som ikke er logget inn, kjøre kode på serveren mens oppgraderingen pågår», vår oversettelse). Årsaken er ifølge CISA forutsigbare mellomlagringsstier som er tilgjengelige fra nettet, og som brukes når hele WordPress-kjernen oppgraderes.

CCB forklarer at en angriper som får tilgang til mappen wp-content/upgrade mens oppgraderingen pågår, kan gripe inn i oppsettet og kjøre PHP-kode på serveren. Feiltypen kalles «time-of-check time-of-use» (TOCTOU): systemet sjekker en tilstand på ett tidspunkt og bruker den senere, og i mellomtiden kan en angriper rekke å gripe inn.

Den amerikanske sårbarhetsdatabasen NVD og CCB oppgir en CVSS-score på 8,1 av 10, som regnes som høy alvorlighetsgrad.

Et vindu på noen sekunder

Feilen kan bare utnyttes mens en server faktisk holder på med en full oppgradering av WordPress. CCB skriver, med henvisning til sikkerhetsselskapet Wordfence, at vinduet kan være helt nede i noen sekunder. Derfor skanner angripere WordPress-nettsteder kontinuerlig i håp om å treffe riktig øyeblikk, ifølge CCB.

Ingen av kildene oppgir hvor mange nettsteder som faktisk er kompromittert. Det som er beskrevet, er forsøk på å utnytte feilen.

Rettet 28. oktober

WordPress slapp versjon 7.1.4 som sikkerhetsoppdatering onsdag 28. oktober. Ifølge WordPress' egen dokumentasjonsside retter versjonen 22 sårbarheter, blant dem «a race condition during core updates that could lead to remote code execution» (en kappløpssituasjon under kjerneoppdateringer som kan føre til ekstern kjøring av kode). Feilen ble rapportert av Umut Bayram, ifølge WordPress, som anbefaler alle å oppdatere umiddelbart.

Ifølge WordPress starter oppdateringen automatisk på nettsteder som støtter automatiske bakgrunnsoppdateringer. Andre kan oppdatere fra kontrollpanelet under «Oppdateringer».

Oppdater til disse versjonene

NVD oppgir at alle versjoner fra 4.7 til og med 7.1.3 er sårbare. WordPress har sluppet rettelser også for eldre versjonsgrener helt tilbake til 4.7. Dette er de rettede versjonene per gren, slik WordPress oppgir dem:

• 7.1 → 7.1.4

• 7.0 → 7.0.8

• 6.9 → 6.9.11

• 6.8 → 6.8.12

• 6.7 → 6.7.11

• 6.6 → 6.6.11

• 6.5 → 6.5.14

• 6.4 → 6.4.14

• 6.3 → 6.3.14

• 6.2 → 6.2.15

• 6.1 → 6.1.16

• 6.0 → 6.0.18

• 5.9 → 5.9.20

• 5.8 → 5.8.19

• 5.7 → 5.7.21

• 5.6 → 5.6.23

• 5.5 → 5.5.24

• 5.4 → 5.4.25

• 5.3 → 5.3.27

• 5.2 → 5.2.30

• 5.1 → 5.1.28

• 5.0 → 5.0.31

• 4.9 → 4.9.35

• 4.8 → 4.8.34

• 4.7 → 4.7.39

WordPress minner om at bare den nyeste versjonen får full støtte.

Råd fra belgiske myndigheter

CCB anbefaler å installere oppdateringen med høyeste prioritet etter grundig testing, og ber virksomheter gjøre dette mens oppgraderingen pågår:

• gå gjennom loggene og se etter skanning

• justere brannmur og tilgangsregler slik at oppgraderingsmappen ikke er tilgjengelig mens oppgraderingen pågår

• se etter mistenkelig aktivitet i oppgraderingsmappen under og etter oppdateringen

CCB påpeker at en oppdatering beskytter mot nye angrep, men ikke rydder opp etter et innbrudd som allerede har skjedd.

Frist for amerikanske etater

CISA har satt 6. november 2026 som frist for amerikanske sivile føderale etater, under direktivet BOD 26-04. Oppføringen krever også at etatene undersøker om systemet ble kompromittert før oppdateringen ble installert. Direktivet gjelder bare disse etatene, men CISA oppfordrer alle virksomheter til å prioritere sårbarhetene i KEV-katalogen.

Nasjonal sikkerhetsmyndighet (NSM) hadde onsdag morgen ikke publisert noe eget varsel om sårbarheten.

Dette er ikke kjent

• Hvor mange WordPress-nettsteder som faktisk er kompromittert gjennom sårbarheten.

• Hva CISAs bevis for aktiv utnyttelse består av, og hvem som står bak.

• Om sårbarheten er brukt i løsepengevirus-angrep. CISA oppgir dette som ukjent.

• Om norske nettsteder er rammet.

Bildet øverst er et illustrasjonsfoto: et skjermbilde av kontrollpanelet i WordPress 7.0, uten direkte kobling til sårbarheten. Bildet er beskåret.

Kilder

• CISA, 3.11.2026: https://www.cisa.gov/news-events/alerts/2026/11/03/cisa-adds-one-known-exploited-vulnerability-catalog

• CISA, KEV-katalogen: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

• CCB, 3.11.2026: https://ccb.belgium.be/advisories/warning-remote-command-execution-wordpress-core-during-upgrade-window-actively-exploited

• WordPress.org, 28.10.2026: https://wordpress.org/news/2026/10/wordpress-7-1-4/

• WordPress.org, versjon 7.1.4: https://wordpress.org/documentation/wordpress-version/version-7-1-4/

• NVD, CVE-2026-119977: https://nvd.nist.gov/vuln/detail/CVE-2026-119977

• Bilde: https://commons.wikimedia.org/wiki/File:WordPress_7.0_Dashboard.png