漏洞列入KEV目錄，聯邦機構限期修復
美國網絡安全與基礎設施安全局（CISA）於2026年11月3日發佈緊急安全通告。一個高危漏洞被列入已知被利用漏洞（KEV）目錄。該漏洞影響全球內容管理系統WordPress核心組件，編號爲CVE-2026-119977。CISA通報明確指出，已有證據表明惡意網絡行爲體正在野外活躍利用該漏洞發起攻擊。
依據美國聯邦具有約束力的操作指令（BOD 26-04），聯邦民事行政分支機構須限期完成排查與修復。截止日期爲2026年11月6日。目標是遏制服務器遭遠程代碼執行與全盤接管的重大風險。
漏洞由安全研究員發現並提交
該漏洞由網絡安全機構Picus Security的安全研究員烏穆特·巴伊拉姆（Umut Bayram）發現並負責任地提交。缺陷屬於檢查時間與使用時間（TOCTOU）競態條件漏洞。在通用漏洞評分系統（CVSS 3.1）中，其基準分數爲8.1分，定級爲高危。
CISA官方通報原文寫道：“WordPress Core contains a time-of-check time-of-use (TOCTOU) race condition vulnerability that could allow unauthenticated attackers to execute code on the server during the upgrade window. This is due to predictable, web-accessible staging paths used during full-package core upgrades.”
解包路徑可預測，攻擊者無需憑據
WordPress執行包含完整升級包的核心更新時，更新程序會將新版本文件解包至網站目錄下的wp-content/upgrade臨時目錄。解包文件包含未初始化的WordPress安裝引導程序setup-config.php。在5.9及以上版本中，解包路徑按下載文件名命名，完全可預測。
未授權攻擊者無需擁有目標網站的任何賬號憑據。只要在升級展開的狹窄時間窗口內向該引導文件發送網絡請求，即可利用正在部署的臨時系統。攻擊者藉此可配置外部惡意數據庫並創建新的管理員賬戶。隨後上傳惡意PHP腳本，最終完全控制底層Web服務器。
缺陷代碼可追溯至2008年
巴伊拉姆的技術追蹤表明，產生該競態缺陷的底層代碼邏輯最早可追溯至2008年發佈的WordPress 2.7。潛伏長達18年之久。波及4.7至7.1.3之間的所有核心版本。WordPress官方已於10月28日緊急發佈7.1.4正式版及針對舊分支的向後移植修復版本。
升級過程仍有最後一次暴露
安全專家警示，從脆弱版本升級至修復版本時，仍由舊版未修補程序執行解包。網站在更新操作中面臨“最後一次暴露”。巴伊拉姆接受媒體採訪時指出：“isn't partial versus complete. It's whether the updater already installed on the site has been fixed.”若攻擊者恰好撞中數秒的解包間隙，仍能攻擊臨時環境。
更新前可阻斷upgrade目錄訪問
專家建議管理員在更新前採取兩項關鍵防護措施。第一，在Web服務器層面全面阻斷對wp-content/upgrade目錄的外部網絡訪問。Nginx服務器可配置規則拒絕訪問該路徑。Apache服務器可在配置中設置全局拒絕訪問指令，或在根目錄.htaccess中添加403匹配規則。
切勿將.htaccess置於upgrade目錄內。舊更新程序解包前會自動清空該文件夾。第二，具備終端權限的管理員可在Web服務目錄之外手動離線解壓新核心文件進行覆蓋更新。這樣做可徹底避免在公網路徑暴露臨時安裝文件。
日誌排查關注異常賬號與系統調用
安全機構建議排查服務器日誌。核查是否存在對wp-content/upgrade目錄的異常訪問、未授權管理員賬號、未知插件或異常PHP文件。同時關注PHP-FPM或Apache是否異常衍生出shell命令及curl、wget、Python等系統調用。
防火牆攔截逾24萬次利用嘗試
全球威脅情報證實，針對該漏洞的在途攻擊具有極高自動化特徵。Wordfence數據顯示，在10月28日規則部署僅9分鐘後即捕獲攻擊探測。披露後21小時內記錄逾18,500次針對安裝路徑的請求。
截至目前，Wordfence防火牆已累計攔截超過240,000次利用嘗試。其中10月30日單日攔截量超過74,000次。近期24小時內仍攔截12,632次攻擊。最活躍的兩個攻擊源持續輪詢目標網站達14.5小時。
惡意IP 103.59.160.171發起的受攔截請求超過74,900次。其餘高頻攻擊源包括2001:df1:e8c0::106b（逾40,400次）和51.89.103.78（逾34,600次）等。Previdian蜜罐也在10月30日記錄到來自英國IP的3次攻擊。CISA敦促各機構立即升級並全面開展合規排查。
