Уязвимость в том, как ядро WordPress раскладывает файлы при обновлении полным пакетом. Пути для промежуточных файлов предсказуемы и доступны через веб, а между проверкой файла и его использованием есть окно, в которое можно вмешаться. Это классическое TOCTOU-состояние гонки (CWE-367), и результат — выполнение кода без аутентификации, но только в момент апгрейда.
Wordfence как CNA оценила это в CVSS 8.1: высокие последствия компенсированы высокой сложностью атаки, потому что гонку надо выиграть. Затронуты версии ядра с 4.7.0 по 7.1.3 — в записи CVE они перечислены как 25 диапазонов по веткам.
Что уже произошло
WordPress выпустила 7.1.4 и бэкпорты для веток с 4.7 по 7.0 ещё 28 октября. В релизных заметках CVE не назван, но описание совпадает: «состояние гонки при обновлении ядра, которое может привести к удалённому выполнению кода». Кроме этого, 7.1.4 закрывает ещё 21 проблему, в основном хранимые XSS.
3 ноября CISA добавила CVE-2026-119977 в KEV со сроком до 6 ноября и пометкой «форензик-триаж: да». Статус ransomware-использования — неизвестен. Это значит, что эксплуатация подтверждена, а не гипотетическая.
Что делать
Для федеральных агентств США срок уже определён, остальным стоит взять его как приоритет. Обновиться до 7.1.4 или патча своей ветки, а затем проверить фактическую версию: если сайт обновляется автоматически, это не гарантирует, что апгрейд завершился.
Дальше — логи. Ищите обращения к PHP-файлам внутри wp-content/upgrade за период, когда шло обновление. Сайты на 4.6 и старше исправлений не получат: их нужно переводить на поддерживаемую ветку.
The flaw is in how WordPress core stages files during a full-package update. Staging paths are predictable and web-accessible, and there is a window between checking a staged file and using it. That is a classic TOCTOU race (CWE-367), and the result is unauthenticated code execution — but only during the upgrade window.
Wordfence, the CNA, scores it CVSS 8.1: high impact offset by high attack complexity, because the attacker has to win the race. Core versions 4.7.0 through 7.1.3 are affected, listed in the CVE record as 25 branch ranges.
What has happened
WordPress shipped 7.1.4 and backports for branches 4.7 through 7.0 back on 28 October. The release notes do not name the CVE, but the matching entry reads “a race condition during core updates that could lead to remote code execution”. 7.1.4 also fixes 21 other issues, mostly stored XSS.
On 3 November CISA added CVE-2026-119977 to KEV with a due date of 6 November and forensic triage marked yes. Known ransomware use is unknown. The listing means exploitation is confirmed, not hypothetical.
What to do
US federal agencies have a deadline; everyone else should treat 6 November as a priority signal. Update to 7.1.4 or your branch’s patch, then verify the actual installed version — automatic updates do not guarantee the upgrade finished.
Then check logs. Look for requests to PHP files under wp-content/upgrade during the period when an update ran. Sites on 4.6 or older will get no fix and need to move to a supported branch.