CVE-2026-119977 : WordPress Core race condition RCE — CISA KEV

Les faits

Le 3 novembre 2026, la CISA a ajouté CVE-2026-119977 à son catalogue des vulnérabilités exploitées connues (KEV), avec une date limite de remédiation fixée au 6 novembre 2026 pour les agences fédérales américaines. Cette faille de type Time-of-check Time-of-use (TOCTOU), classifiée CWE-367, affecte le mécanisme de mise à jour par paquet complet de WordPress Core dans toutes ses versions de 4.7.0 à 7.1.3. WordPress 7.1.4, publié le 28 octobre 2026, constitue la seule remédiation disponible.

La vulnérabilité résulte d'une fenêtre temporelle critique dans le processus d'upgrade de WordPress. Lorsqu'un site WordPress lance une mise à jour complète du core, le moteur crée des répertoires de staging temporaires à des chemins prévisibles accessibles depuis le web. Cette exposition dure quelques secondes, soit le temps de décompresser et de vérifier l'archive avant d'effectuer la permutation finale. Un attaquant surveillant ce processus peut injecter du code malveillant dans ces répertoires temporaires avant la finalisation de la mise à jour. Si l'injection réussit, le code est intégré à l'installation WordPress et peut être exécuté immédiatement via une simple requête HTTP.

D'un point de vue technique, le vecteur d'attaque est réseau (AV:N), la complexité est haute (AC:H), aucun privilège ni interaction utilisateur n'est requis (PR:N/UI:N). L'impact sur la confidentialité, l'intégrité et la disponibilité est classé High, ce qui donne un score CVSS 3.1 de 8.1 selon l'advisory Wordfence (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H). La classification Advisory Security du GHSA associé (GHSA-4w3m-c66w-69mg) évalue le risque différemment, mais la CISA a tranché en faveur d'une inscription KEV sur la base des exploitations confirmées en production.

La correction dans WordPress 7.1.4 modifie les permissions des répertoires temporaires et introduit un mécanisme de tokens aléatoires pour les chemins de staging, éliminant ainsi la prévisibilité des chemins exploités par CVE-2026-119977. Selon les rapports de Wordfence et de Trend Micro (KB-0024925), la faille a été découverte lors d'une analyse approfondie du code d'upgrade introduit dans la branche WordPress 7.1.x. La correction implique un refactoring complet du module wp-admin/includes/update-core.php.

Un proof-of-concept partiel est disponible sur GitHub sous le nom wp2shell-rce. Plusieurs dépôts publics (johnlodan/wp2shell-rce, sahmsec/wp2shell, ekomssavior/wp2shell) proposent des implémentations avec des niveaux de complétude variables. L'outil de détection Asteroid d'Ostorlab a intégré un détecteur spécifique pour CVE-2026-119977 le 3 novembre 2026, permettant aux équipes de sécurité d'identifier les instances vulnérables dans leur parc. Sploitus répertorie un exploit actif avec l'identifiant A72A8D78-62B6-5036-AC22-7E5CF4E7551F.

Il convient de ne pas confondre CVE-2026-119977 avec la chaîne WP2Shell séparée (CVE-2026-63030 et CVE-2026-60137) qui ciblait WordPress 6.9.0 à 7.0.1 et était déjà corrigée dans les versions 6.9.5 et 7.0.2. CVE-2026-119977 est distinct et affecte spécifiquement le nouveau moteur d'upgrade introduit dans la branche 7.1.x, avec une surface d'exposition plus large puisque la branche 7.1.x représentait la version recommandée au moment de la divulgation.

L'exposition globale est considérable : WordPress alimente plus de 43 % des sites web mondiaux. Parmi les installations actives, une proportion significative tarde à appliquer les mises à jour du core par crainte de régressions sur les thèmes ou plugins. Les sites configurés pour les mises à jour automatiques du core sont paradoxalement plus exposés s'ils n'ont pas encore reçu le patch 7.1.4 : ils déclencheront eux-mêmes la fenêtre d'exploitation lors de la prochaine mise à jour planifiée.

D'après Threat Defence et aicybr, des campagnes automatisées ciblent les sites WordPress à fort trafic, où la probabilité de déclenchement d'une mise à jour automatique est statistiquement plus élevée. Les attaquants combinent la surveillance passive des mises à jour WordPress avec des outils de timing précis pour maximiser la probabilité d'exploitation dans la fenêtre temporelle critique. La complexité élevée (AC:H) n'est donc pas un obstacle insurmontable pour des acteurs disposant d'infrastructures d'attaque automatisées.

Impact et exposition

Les sites WordPress les plus exposés sont ceux qui n'ont pas encore mis à jour vers 7.1.4 et qui disposent d'un accès réseau à leurs interfaces d'administration (wp-admin). Les hébergements mutualisés, les VPS mal configurés et les installations en auto-hébergement sans WAF constituent la cible principale. Les sites utilisant des CDN ou des pare-feux applicatifs web qui filtrent les requêtes vers les répertoires temporaires bénéficient d'une protection partielle, mais cette mitigation n'est pas suffisante en l'absence du patch.

L'exploitation active confirmée par la CISA signifie que des attaquants disposent des outils et de la méthodologie pour cibler les sites vulnérables de manière systématique. En cas de compromission réussie, l'attaquant obtient une exécution de code arbitraire au niveau du serveur web. Selon les permissions du processus PHP, cela peut permettre l'exfiltration de la base de données, l'installation d'un webshell persistant, le déploiement d'un ransomware, l'utilisation du serveur comme point de rebond ou la modification des contenus du site à des fins de défacement ou de campagnes SEO malveillantes.

Les agences fédérales américaines sous directive CISA-BOD-22-01 sont tenues de remédier avant le 6 novembre 2026. Pour les organisations du secteur privé, la gravité et l'exploitation active justifient une remédiation immédiate dans les 24 à 48 heures. Les fournisseurs d'hébergement WordPress (WP Engine, Kinsta, Cloudways, etc.) ont signalé avoir activé des règles WAF temporaires en attendant que leurs clients appliquent le patch, selon des rapports de la communauté sécurité.

Recommandations immédiates

• Mettre à jour WordPress vers la version 7.1.4 ou ultérieure — Wordfence Security Advisory WFSA-2026-119977
• Vérifier l'état de toutes les installations WordPress dans l'inventaire via WP-CLI : wp core version --allow-root
• Désactiver temporairement les mises à jour automatiques du core si la mise à jour manuelle vers 7.1.4 ne peut pas être effectuée immédiatement
• Restreindre l'accès au répertoire wp-content/upgrade/ via règles .htaccess ou configuration serveur web
• Auditer les logs d'accès des 7 derniers jours à la recherche de requêtes vers des chemins temporaires d'upgrade (pattern : /wp-content/upgrade/*.php)
• Si exploitation suspectée : comparer les checksums des fichiers du core WordPress avec les checksums officiels de la version installée