漏洞列入KEV目录，联邦机构限期修复
美国网络安全与基础设施安全局（CISA）于2026年11月3日发布紧急安全通告。一个高危漏洞被列入已知被利用漏洞（KEV）目录。该漏洞影响全球内容管理系统WordPress核心组件，编号为CVE-2026-119977。CISA通报明确指出，已有证据表明恶意网络行为体正在野外活跃利用该漏洞发起攻击。
依据美国联邦具有约束力的操作指令（BOD 26-04），联邦民事行政分支机构须限期完成排查与修复。截止日期为2026年11月6日。目标是遏制服务器遭远程代码执行与全盘接管的重大风险。
漏洞由安全研究员发现并提交
该漏洞由网络安全机构Picus Security的安全研究员乌穆特·巴伊拉姆（Umut Bayram）发现并负责任地提交。缺陷属于检查时间与使用时间（TOCTOU）竞态条件漏洞。在通用漏洞评分系统（CVSS 3.1）中，其基准分数为8.1分，定级为高危。
CISA官方通报原文写道：“WordPress Core contains a time-of-check time-of-use (TOCTOU) race condition vulnerability that could allow unauthenticated attackers to execute code on the server during the upgrade window. This is due to predictable, web-accessible staging paths used during full-package core upgrades.”
解包路径可预测，攻击者无需凭据
WordPress执行包含完整升级包的核心更新时，更新程序会将新版本文件解包至网站目录下的wp-content/upgrade临时目录。解包文件包含未初始化的WordPress安装引导程序setup-config.php。在5.9及以上版本中，解包路径按下载文件名命名，完全可预测。
未授权攻击者无需拥有目标网站的任何账号凭据。只要在升级展开的狭窄时间窗口内向该引导文件发送网络请求，即可利用正在部署的临时系统。攻击者借此可配置外部恶意数据库并创建新的管理员账户。随后上传恶意PHP脚本，最终完全控制底层Web服务器。
缺陷代码可追溯至2008年
巴伊拉姆的技术追踪表明，产生该竞态缺陷的底层代码逻辑最早可追溯至2008年发布的WordPress 2.7。潜伏长达18年之久。波及4.7至7.1.3之间的所有核心版本。WordPress官方已于10月28日紧急发布7.1.4正式版及针对旧分支的向后移植修复版本。
升级过程仍有最后一次暴露
安全专家警示，从脆弱版本升级至修复版本时，仍由旧版未修补程序执行解包。网站在更新操作中面临“最后一次暴露”。巴伊拉姆接受媒体采访时指出：“isn't partial versus complete. It's whether the updater already installed on the site has been fixed.”若攻击者恰好撞中数秒的解包间隙，仍能攻击临时环境。
更新前可阻断upgrade目录访问
专家建议管理员在更新前采取两项关键防护措施。第一，在Web服务器层面全面阻断对wp-content/upgrade目录的外部网络访问。Nginx服务器可配置规则拒绝访问该路径。Apache服务器可在配置中设置全局拒绝访问指令，或在根目录.htaccess中添加403匹配规则。
切勿将.htaccess置于upgrade目录内。旧更新程序解包前会自动清空该文件夹。第二，具备终端权限的管理员可在Web服务目录之外手动离线解压新核心文件进行覆盖更新。这样做可彻底避免在公网路径暴露临时安装文件。
日志排查关注异常账号与系统调用
安全机构建议排查服务器日志。核查是否存在对wp-content/upgrade目录的异常访问、未授权管理员账号、未知插件或异常PHP文件。同时关注PHP-FPM或Apache是否异常衍生出shell命令及curl、wget、Python等系统调用。
防火墙拦截逾24万次利用尝试
全球威胁情报证实，针对该漏洞的在途攻击具有极高自动化特征。Wordfence数据显示，在10月28日规则部署仅9分钟后即捕获攻击探测。披露后21小时内记录逾18,500次针对安装路径的请求。
截至目前，Wordfence防火墙已累计拦截超过240,000次利用尝试。其中10月30日单日拦截量超过74,000次。近期24小时内仍拦截12,632次攻击。最活跃的两个攻击源持续轮询目标网站达14.5小时。
恶意IP 103.59.160.171发起的受拦截请求超过74,900次。其余高频攻击源包括2001:df1:e8c0::106b（逾40,400次）和51.89.103.78（逾34,600次）等。Previdian蜜罐也在10月30日记录到来自英国IP的3次攻击。CISA敦促各机构立即升级并全面开展合规排查。
