2026年10月28日，WordPress发布7.1.4安全更新，修复一个编号为CVE-2026-119977的高危漏洞。11月3日，美国网络安全和基础设施安全局（CISA）确认该漏洞已遭到实际利用，并将其加入“已知被利用漏洞”（Known Exploited Vulnerabilities，KEV）目录。该漏洞涉及WordPress核心升级流程中的TOCTOU（检查时间与使用时间不一致）竞态条件问题。攻击者可能利用升级期间的临时文件路径，在特定条件下实现远程代码执行（RCE）。对于仍在运行受影响版本的WordPress网站，及时安装安全更新并检查潜在入侵迹象非常重要。
PART.01
事件经过
1. 漏洞修复
2026年10月28日，WordPress安全团队发布7.1.4版本，修复升级流程中的安全问题。该漏洞由Picus Security研究员Umut Bayram报告，问题涉及TOCTOU竞态条件，可能在WordPress核心升级窗口期内导致远程代码执行。WordPress官方建议用户尽快安装安全更新。
2. CISA确认在野利用
2026年11月3日，CISA将CVE-2026-119977加入KEV目录，确认该漏洞已经遭到实际利用。这意味着该漏洞不再只是理论上的安全风险，互联网暴露的WordPress站点需要优先检查和修复。
3. 攻击活动受到关注
11月4日，BleepingComputer报道了该漏洞被加入KEV目录的消息。部分安全厂商也报告了针对该漏洞的攻击活动。不过，攻击请求数量不代表成功入侵数量，不能直接将拦截记录理解为已被攻陷的网站数量。
技术条件
该漏洞涉及WordPress完整核心升级过程中使用的暂存目录。
主要风险包括：
- 升级过程中存在临时文件和目录。
- 暂存路径可能被外部访问。
- 路径具有一定的可预测性。
- 特定升级窗口内可能出现竞态条件。
漏洞利用不要求攻击者拥有WordPress账户，但攻击复杂度较高。
事实边界
目前公开信息并未完整披露攻击者身份、攻击目标及所有成功入侵案例。CISA将漏洞列入KEV，代表已确认存在实际利用情况，但不代表所有受影响网站都已经被入侵。
PART.02
风险剖析
WordPress作为全球广泛使用的内容管理系统，拥有大量直接暴露在互联网中的网站。核心升级流程是本次漏洞的关键风险位置。正常情况下，网站管理员会通过后台或自动更新机制安装核心更新。但在升级过程中，系统需要处理临时文件、解压文件和替换核心文件等操作。如果临时目录的访问控制存在缺陷，就可能在升级期间形成额外的攻击面。
主要风险包括：
- 网站远程代码执行： 攻击者可能在特定条件下执行服务器端代码。
- 网站数据泄露： 如果服务器权限过大，攻击者可能进一步接触数据库或配置文件。
- 网站权限被滥用： 被攻陷的网站可能被用于部署恶意文件或执行未经授权的操作。
- 网站访客受到影响： 网站被植入恶意内容后，访问者也可能面临安全风险。
- 服务器进一步受影响： 如果网站与其他服务共享权限或凭证，风险可能扩大。
值得关注的安全问题
本次漏洞再次说明，软件升级过程本身也需要纳入安全设计。
网站管理员不能只关注日常访问控制，还应关注更新、备份、迁移等维护操作期间产生的临时目录和权限。
PART.03
背景脉络与安全趋势
近年来，公开漏洞被快速分析、验证和扫描已经成为网络安全领域需要持续关注的问题。对于WordPress这类广泛部署的平台，漏洞公开后，攻击者可能迅速识别受影响版本，并对互联网中的相关站点展开扫描。本次事件反映出三个值得关注的趋势：
1. 漏洞公开后的响应时间越来越短
从安全更新发布到CISA确认在野利用，仅相隔数日。这说明网站管理员需要建立及时接收漏洞情报和安装安全更新的机制。
2. 软件维护流程也可能成为攻击面
升级、备份和迁移操作可能产生临时目录、文件和权限。这些维护流程如果缺少适当的访问控制，就可能带来额外风险。
3. 网站安全责任需要明确分工
网站管理员、托管服务商和插件开发者都需要承担相应的安全责任。如果没有明确规定谁负责核心更新、插件更新和安全监控，就容易出现安全管理空档。
处置建议
对于使用WordPress的管理员，建议优先完成以下工作：
1. 检查WordPress版本
进入WordPress后台，查看当前核心版本。确认是否安装了对应版本分支的安全更新。7.1分支应更新至7.1.4，其他旧分支则应安装各自对应的修复版本。
2. 检查自动更新设置
确认WordPress核心安全更新功能正常运行。不要仅仅依赖自动更新提示，应在更新后再次检查实际安装版本。
3. 检查升级残留文件
检查网站升级后是否存在不必要的临时文件、压缩包或解压残留。确保临时目录没有不必要的公开访问权限。
4. 检查网站是否存在异常活动
建议管理员关注：
- 是否出现不认识的管理员账户。
- 是否存在未经授权新增的插件或主题。
- 核心文件是否出现异常修改。
- 网站近期访问日志是否存在可疑请求。
- 数据库配置和账户是否出现未经授权的变更。
如果发现疑似入侵迹象，应保留日志和相关证据，并进行进一步安全调查。
5. 加强网站维护流程
- 定期备份网站文件和数据库。
- 限制服务器文件及目录访问权限。
- 及时更新WordPress核心、插件和主题。
- 使用具备安全监控功能的防护方案。
- 与服务器托管商确认安全更新责任。
总结
CVE-2026-119977再次提醒网站管理员，软件升级过程也可能成为攻击者关注的目标。对于WordPress网站来说，及时更新核心版本、检查升级残留文件，以及审查异常账户和文件变化，是降低风险的重要措施。不要因为网站目前能够正常访问，就认定网站没有受到攻击。
参考来源
-
BleepingComputer：CISA Flags WordPress RCE Flaw as Actively Exploited in Attacks
https://www.bleepingcomputer.com/news/security/cisa-flags-wordpress-rce-flaw-as-actively-exploited-in-attacks/ -
WordPress：WordPress 7.1.4 Security Release
https://wordpress.org/news/2026/10/wordpress-7-1-4/ -
CISA：Known Exploited Vulnerabilities Catalog
https://www.cisa.gov/known-exploited-vulnerabilities-catalog -
NVD：CVE-2026-119977
https://nvd.nist.gov/vuln/detail/CVE-2026-119977
事件时间： 2026年10月28日至11月4日
漏洞编号： CVE-2026-119977
漏洞类型： Remote Code Execution（RCE）
影响产品： WordPress Core
严重程度： High