CISA conferma attacco attivo a WordPress Core durante la finestra di aggiornamento

CISA ha aggiunto il 3 novembre 2026 CVE-2026-119977 al catalogo Known Exploited Vulnerabilities, confermando lo sfruttamento attivo di una race condition nel meccanismo di aggiornamento di WordPress Core. La vulnerabilità trasforma un'operazione ritenuta sicura — l'upgrade del CMS — in un vettore di attacco, con una scadenza federale vincolante fissata al 6 novembre 2026 per le agenzie del Federal Civilian Executive Branch. Il dato è particolarmente insidioso: l'attacco richiede condizioni di temporizzazione precise, ma le metriche di Wordfence mostrano oltre 18.500 richieste mirate ai percorsi di staging nel solo primo giorno dalla divulgazione.

La race condition nascosta nel processo di upgrade

Il difetto risiede nel modo in cui WordPress Core gestisce gli aggiornamenti completi del pacchetto. Durante l'estrazione dei file, il sistema crea una directory temporanea sotto wp-content/upgrade con nomi prevedibili. Questa directory rimane accessibile via web per un intervallo misurabile prima che il processo di cleanup la rimuova. Secondo il record ufficiale CVE, classificato sotto CWE-367, l'attaccante non autenticato che intercetti questa finestra può accedere al file setup-config.php in staging e reindirizzare la configurazione del database verso infrastrutture controllate.

Il vettore è classico TOCTOU: il controllo di accessibilità del file e il suo effettivo utilizzo avvengono in momenti diversi, senza sincronizzazione adeguata. La complessità di attacco elevata — riflessa nel parametro AC:H del vettore CVSS — non ha impedito l'automazione massiva: Wordfence ha rilevato oltre 18.500 richieste mirate nei primi 21 ore dalla divulgazione pubblica, secondo quanto riportato da The Hacker News. Un dato successivo indica 12.632 attacchi bloccati nelle ultime 24 ore di rilevamento.

Il confine tra tentativi e exploit confermati

La distinzione tra scansione massiva e exploit riuscito è fondamentale. Il honeypot di Previdian ha registrato 3 tentativi di sfruttamento da un indirizzo IP del Regno Unito il 30 ottobre 2026, a due giorni dal rilascio della patch. CISA non pubblica il numero di compromissioni confermate; il catalogo KEV indica lo stato di sfruttamento come attivo ma classifica la presenza di campagne ransomware come "Unknown". Questo limite è rilevante per la calibrazione del rischio: la densità di tentativi suggerisce tooling automatizzato, non necessariamente operazioni mirate con accesso stabile ottenuto.

Un secondo dato numerico richiede attenzione. Cybersecuritynews.com riporta 60.471 tentativi bloccati in 24 ore, ma il contesto è più ampio di questa singola CVE: la cifra aggrega attività RCE su WordPress in generale, non è specifica di CVE-2026-119977. Per questa ragione il dato non è intercambiabile con le metriche Wordfence sui percorsi di staging.

"WordPress Core contains a time-of-check time-of-use (TOCTOU) race condition vulnerability that could allow unauthenticated attackers to execute code on the server during the upgrade window. This is due to predictable, web-accessible staging paths used during full-package core upgrades." — CISA, come citato da The Hacker News

La scadenza federale e la pressione operativa

L'inserimento nel catalogo KEV attiva la Binding Operational Directive 26-04, che impone alle agenzie federali civili la remedizione entro il 6 novembre 2026. La finestra è stretta: tre giorni lavorativi dall'annuncio CISA. La direttiva richiede anche triage forense per verificare eventuali compromissioni precedenti, un aggravio operativo non trascurabile per ambienti con deployment WordPress distribuiti su centinaia di istanze.

La natura non autenticata della vulnerabilità elimina una barriera di protezione standard: non servono credenziali rubate né sessioni hijacked. L'attaccante deve solo allinearsi temporalmente con un aggiornamento in corso, condizione che le piattaforme di hosting gestito e gli strumenti di aggiornamento automatico possono inconsciamente facilitare con scheduling predicibili. L'attribuzione a Umut Bayram come ricercatore che ha segnalato il difetto è documentata da Cybersecuritynews.com; il movente e l'identità degli operatori attivi rimangono non determinati.

Cosa fare adesso

• Aggiornare immediatamente a WordPress Core 7.1.4, rilasciato il 28 ottobre 2026 con la correzione specifica per questa race condition
• Verificare nei log accessi richieste anomale a percorsi sotto wp-content/upgrade durante finestre di manutenzione programmata, con attenzione alle richieste a setup-config.php in staging
• Eseguire triage forense su sistemi che abbiano effettuato aggiornamenti full-package nelle settimane precedenti al 3 novembre 2026, come richiesto dalla BOD 26-04 per le organizzazioni soggette
• Rivalutare la frequenza e la predicibilità degli slot di aggiornamento automatico: la race condition TOCTOU guadagna probabilità di successo quando l'attaccante può prevedere con accuratezza l'intervallo di finestra vulnerabile

Il problema più grande della manutenzione ordinaria

Questa vulnerabilità rivela un assunto fragile nella gestione dei CMS: che le operazioni di manutenzione siano intrinsecamente più sicure delle interazioni utente ordinarie. La race condition TOCTOU dimostra il contrario. La finestra di upgrade è un momento di transizione in cui i controlli di accesso standard possono essere aggirati da percorsi temporanei non sufficientemente protetti.

La criticità CVSS 8.1 riflette impatti elevati su confidenzialità, integrità e disponibilità, non facilità di sfruttamento. Il parametro AC:H indica che l'attacco richiede precisione temporale, ma l'automazione distribuita abbassa questo scoglio. Le 18.500 richieste in 21 ore dimostrano che gli operatori di minaccia hanno integrato il vettore nei loro playbook.

Per le organizzazioni che gestiscono WordPress, la lezione è operativa: la sicurezza dell'upgrade dipende tanto dalla velocità di applicazione della patch quanto dalla riduzione della superficie di attacco durante la finestra vulnerabile. Directory di staging predicibili, intervalli di manutenzione noti, assenza di rate limiting su percorsi temporanei: questi fattori amplificano una vulnerabilità tecnicamente complessa in un rischio gestionale concreto.

Fonti

• thehackernews.com
• cybersecuritynews.com
• cve.org
• cisa.gov
• cisa.gov