Apa yang terjadi
WordPress Core 4.7 hingga 7.1.3 mengandung kondisi balapan time-of-check time-of-use (TOCTOU) (CWE-367) yang disebabkan oleh jalur staging yang dapat diprediksi dan dapat diakses web yang digunakan selama peningkatan inti paket penuh. Penyerang tanpa autentikasi dapat mengeksekusi kode di server selama jendela peningkatan. CISA menambahkannya ke katalog Known Exploited Vulnerabilities pada 2026-11-03 dengan status eksploitasi 'aktif' dan tenggat waktu federal 2026-11-06 (CVSS 8.1). Dipatch di WordPress 7.1.4.
Mengapa penting
Ini adalah satu-satunya tambahan KEV CISA hari ini — eksploitasi terkonfirmasi di lapangan dari RCE tanpa autentikasi. Relevansi AI-nya tidak langsung tetapi nyata: sebagian besar aplikasi AI dikirim sebagai plugin WordPress (chat AI, alt-text AI, server MCP AI Engine, plugin AI agentic) dan endpoint MCP/agen WordPress, dan semuanya berjalan pada inti yang sama ini. Membahayakan inti selama jendela peningkatan memberi penyerang eksekusi kode di host yang juga melayani permukaan AI tersebut, sehingga tim mana pun yang menjalankan AI-di-WordPress harus menganggap tenggat waktu KEV 2026-11-06 sebagai mendesak dan mengasumsikan pelanggaran.
Vektor serangan
Penyerang tanpa autentikasi berlomba dengan jendela peningkatan inti: jalur staging yang dapat diprediksi dan dapat diakses web terekspos selama peningkatan paket penuh dan penyerang memenangkan TOCTOU untuk menjatuhkan dan mengeksekusi kode di server.
Sistem yang terdampak
WordPress Core 4.7.0–7.1.3 (situs mana pun yang menjalankan plugin AI / server MCP AI di WordPress).
Mitigasi
Tingkatkan ke WordPress 7.1.4+; hindari meninggalkan peningkatan di tengah jalan dan batasi akses web ke jalur staging selama peningkatan; ikuti CISA BOD 26-04 (jatuh tempo 2026-11-06) dan triase forensik.