CVE-Forschung
sekurity-team
InSEKurity of the Week (CW45/2026): WordPress Core Upgrade Race Condition RCE (CVE-2026-119977)
Waehrend eines Core-Updates entpackt WordPress das neue Release in einen vorhersagbaren, per Web erreichbaren Ordner -- inklusive Installer. Ein nicht authentifizierter Angreifer, der dieses Wettrennen gewinnt, tauscht die live wp-config.php aus und uebernimmt die Seite. CVSS 8.1, seit 3. November 2026 im CISA-KEV-Katalog, massenhafte Scans beobachtet.
Exploit
01