CISA WordPress Core zaifligidan xakerlar foydalanayotganini tasdiqladi

AQShning Kiberxavfsizlik va infratuzilmani himoya qilish agentligi (CISA) WordPress Core tizimidagi xavfsizlik zaifligini faol ekspluatatsiya qilinayotgan zaifliklar (KEV) katalogiga qo'shdi. Ushbu qaror xakerlar dasturiy ta'minotni yangilash jarayonida ushbu bo'shliqdan foydalanayotgani tasdiqlanganidan so'ng qabul qilindi.

• Zaiflik CVE-2026-119977 raqami bilan belgilangan bo'lib, CVSS balli 8.1 ni tashkil etadi.
• Muammo Time-of-check Time-of-use (TOCTOU) poyga holati (race condition) xatosi hisoblanadi.
• Xakerlar bu kamchilikdan aynan WordPress yangilanishlari jarayonida foydalanishga muvaffaq bo'lmoqda.

CVE-2026-119977 zaifligining xususiyatlari Aniqlangan xavfsizlik muammosi TOCTOU deb nomlanuvchi poyga holati turi bo'lib, u shartlarni tekshirish va ulardan foydalanish oralig'idagi vaqt farqidan kelib chiqadi. Bunday zaifliklar tizim mantiqiy xatolaridan foydalangan holda kutilmagan harakatlarni bajarishga imkon beradi.

Mutaxassislarning ta'kidlashicha, ushbu yuqori darajadagi zaiflikdan foydalanib, ruxsatsiz ixtiyoriy kodni bajarishga erishish mumkin. Bu esa hujumchilarga saytlar ustidan nazorat o'rnatish va zararli dasturlarni tarqatish imkonini beradi.

Veb-sayt egalari uchun xavfsizlik choralari Zaiflikning KEV katalogiga kiritilishi uning real xavf tug'dirishini anglatadi va barcha tegishli tuzilmalardan tezkor choralar ko'rishni talab qiladi. Shuningdek, butun dunyo bo'ylab WordPress sayt ma'muriyatchilari ham hushyor bo'lishlari shart.

Sayt xavfsizligini ta'minlash uchun ishlab chiquvchilar tomonidan taqdim etiladigan rasmiy patchlar va yangilanishlarni o'z vaqtida o'rnatish hamda tizim fayllarini doimiy ravishda nazorat qilib borish tavsiya etiladi.