CVE-2026-119977: RCE durante upgrade di WordPress Core

WordPress Core (versioni 4.7 fino a 7.1.3) è vulnerabile a Remote Code Execution (CVE-2026-119977) durante il processo di aggiornamento del pacchetto completo. La falla sfrutta path staging predictable e web-accessible: durante l'upgrade, il server espone directory prevedibili contenenti il codice in fase di installazione. Attaccanti non autenticati possono accedere a questi percorsi e eseguire codice arbitrario sul server, ottenendo il controllo completo dell'istanza WordPress.

Il punteggio CVSS è 8,1 (gravità HIGH): si tratta di una Remote Code Execution senza autenticazione, il massimo livello di compromissione. La vulnerabilità è stata pubblicata su NVD il 31 ottobre 2026. Non è stato segnalato un exploit pubblico su GitHub. Un fattore critico: ad oggi nessuna patch ufficiale è stata rilasciata dal progetto WordPress.

Per la difesa, le azioni immediate sono: (1) posticipare gli aggiornamenti a WordPress fino al rilascio di una patch ufficiale; (2) limitare l'accesso web ai percorsi di staging, solitamente sotto wp-content/upgrade; (3) monitorare attentamente i log d'accesso per tentativi di accesso a directory staging prevedibili; (4) se disponibile, implementare un WAF configurato per bloccare accessi non autorizzati a percorsi noti durante finestre di manutenzione.

Se non è possibile evitare l'aggiornamento nel breve termine, i team DevOps e sysadmin devono valutare alternative come ambienti isolati di staging, aggiornamenti forzati offline se possibile, o architetture di reverse proxy che nascondono percorsi sensibili.