适用对象：运营 WordPress 站点的人（自有服务器、VPS、共享主机、托管型 WordPress 主机），以及把站点更新交给代理机构或服务商的人。本文基于 WordPress 项目的公告与安全公告、CVE 记录以及媒体报道，不涉及攻击步骤。
持续更新中：随着更多信息发布，本页面将会更新
- 适用对象
运营 WordPress 站点的人（自有服务器、VPS、共享主机、托管型 WordPress 主机），以及把站点更新交给代理机构或服务商的人。
- 已确认的影响范围查看表格 ↓
- 漏洞
- 受影响版本
- 修复版本
另外2项
- 严重性
- CVE 编号
- 尚未确认的事项
- CISA 是否会将该 CVE 列入已知被利用漏洞目录（11月2日未列入）
- 是否有已确认的利用或入侵（安全厂商表示未报告）
- NVD 自己的评估（状态：Received）
另外1项
- 项目何时发布旧分支的修复版本（公告称将在准备就绪后发布）
- 现在要做的事查看步骤 ↓
- 检查你的 WordPress 版本
- 确认自动更新正在起作用
- 备份，然后手动更新
另外3项
- 更新后检查版本和站点
- 如果站点由他人管理，请询问对方
- 如果你更新较晚，请查看10月28日以来的活动
- 最后核实
- 截至2026年11月2日（JST）
续报计划与核实记录
WordPress 关于安全版本 7.1.4 的公告建议立即更新，并称启用了后台自动更新的站点将开始自行更新。该 CVE 于10月31日发布。媒体报道称观察到针对该漏洞的请求，但没有成功入侵的报告。
今天要做什么
检查你的 WordPress 版本
在管理界面打开“仪表盘”>“更新”，查看当前版本以及是否提供了更新的版本。如果无法登录，或者你管理多个站点，且服务器上安装了 WP-CLI，可以使用 wp core version。修复版本为 7.1.4（7.1 分支）、7.0.8、6.9.11、6.8.12、6.7.11、6.6.11、6.5.14 和 6.4.14。公告还列出了更旧分支的修复（见下表）。
确认自动更新正在起作用
默认情况下，WordPress 会自行应用安全修复等小版本更新。它们可能被配置文件中的设置、插件、主机配置或文件权限关闭。在管理界面打开“工具”>“站点健康”，查看后台更新是否有问题。如果你不清楚自动更新为什么关闭，这次请手动更新。
备份，然后手动更新
把文件和数据库备份到服务器之外的位置（备份与恢复要点）。然后在“更新”页面点击“现在更新”。运行期间不要关闭浏览器，也不要启动其他更新。
更新后检查版本和站点
确认“更新”页面显示的是最新版本，并确认首页、登录和联系表单可以正常使用。7.1.4 还包含若干存储型 XSS 的修复，因此请留意插件和主题给出的警告。
如果站点由他人管理，请询问对方
对于由代理机构、合作伙伴、共享主机或托管型主机运营的站点，请今天就问清楚由谁、何时更新 WordPress 核心。同时请自己在管理界面检查版本。
如果你更新较晚，请查看10月28日以来的活动
查看10月28日以来是否有你不认识的请求、不是你放置的文件，以及不是你添加的管理员账户。检查方法见如何检查你的网站或服务器是否已被入侵。
自动更新已开启
会自行开始（公告）。请在“更新”页面确认已经完成
自动更新已关闭或失败
由你更新。备份、更新、测试
由代理机构或主机服务商管理
问清楚由谁、何时更新，并自己检查版本
公告与安全公告怎么说
WordPress 项目于2026年10月28日在 wordpress.org 发布了“WordPress 7.1.4 Security Release”，并附有修复列表。对该漏洞的说明见10月29日发布的 GitHub 安全公告。
- 版本
- WordPress 7.1.4 于2026年10月28日发布。公告建议立即更新你的站点
- 漏洞（安全公告）
- 在使用完整安装包进行核心更新时，WordPress 会把新文件解压到可通过网络访问的升级目录内一个可预测的目录中。未经认证的攻击者如果在解压期间赢得竞态，就可能实现远程代码执行（RCE）
- 公告中的措辞
- 被列为升级过程中的一个弱点，可能在升级窗口期内导致远程代码执行。公告页面未给出严重性、CVE 编号或受影响版本列表
- 修复
- 已在 7.1.4 中修复。据安全公告，作为对使用旧分支用户的照顾，修复已回移到一直追溯至 4.7 的所有分支。公告称回移版本将在准备就绪后发布
- 严重性（WordPress）
- 安全公告将其评为低，未给出评分
- 自动更新
- 公告称，对于启用了后台自动更新的站点，更新过程将自动开始
- 支持
- 公告称，只有最新版本的 WordPress 得到积极支持
- 版本中的其他修复
- 包括若干存储型 XSS 问题，以及未经认证用户可发现的未发布 Customizer 变更集等（公告的列表）
- CVE
- CVE-2026-119977，由安全厂商 Wordfence 以 CNA 身份发布。NVD 的状态为 Received，NVD 尚未添加自己的评估
- 说明
- WordPress 核心 4.7 至 7.1.3：完整安装包核心升级期间使用的暂存路径可预测且可通过网络访问，使未经认证的攻击者能够在升级窗口期内于服务器上执行代码
- 严重性（CVE）
- CVSS v3.1 8.1（高危）：网络、无需权限、无需用户交互、攻击复杂度为高。弱点类型 CWE-367（检查时间到使用时间的竞态条件）
- 分歧
- WordPress 的安全公告评为低，CVE 记录评为高。两者来自不同的评估者，因此并非哪一方简单地出错。本站的看法是：既然已有修复，即使是难以利用的漏洞，更新也是正确的优先事项
修复版本（来自安全公告）
| 分支 | 受影响版本 | 修复版本 |
|---|---|---|
| 7.1 | 7.1.0 至 7.1.3 | 7.1.4 |
| 7.0 | 7.0.0 至 7.0.7 | 7.0.8 |
| 6.9 | 6.9.0 至 6.9.10 | 6.9.11 |
| 6.8 | 6.8.0 至 6.8.11 | 6.8.12 |
| 6.7 | 6.7.0 至 6.7.10 | 6.7.11 |
| 6.6 | 6.6.0 至 6.6.10 | 6.6.11 |
| 6.5 | 6.5.0 至 6.5.13 | 6.5.14 |
| 6.4 | 6.4.0 至 6.4.13 | 6.4.14 |
| 6.3 | 6.3.0 至 6.3.13 | 6.3.14 |
| 6.2 | 6.2.0 至 6.2.14 | 6.2.15 |
| 6.1 | 6.1.0 至 6.1.15 | 6.1.16 |
| 6.0 | 6.0.0 至 6.0.17 | 6.0.18 |
| 5.9 至 5.0 | 至各分支的最后一个版本 | 5.9.20、5.8.19、5.7.21、5.6.23、5.5.24、5.4.25、5.3.27、5.2.30、5.1.28、5.0.31 |
| 4.9 至 4.7 | 至各分支的最后一个版本 | 4.9.35、4.8.34、4.7.39 |
安全公告未列出 4.6 及更早版本的修复。旧分支并不总是会自行更新，因此如果你仍在使用，请手动更新，或计划迁移到受支持的版本。
利用情况（来自媒体报道）
以下内容来自安全厂商的报告，经媒体转述。WordPress 项目的公告未提及利用情况。
- 观察者
- 一家 WordPress 安全厂商。据 SecurityWeek（10月30日）报道，该厂商称补丁推出后数小时内就开始了利用
- 数字
- 该厂商新防火墙规则在部署9分钟后首次命中，最初21小时内记录到超过18,500个针对临时更新位置的请求
- 成功入侵
- 该厂商未报告任何成功入侵
- 攻击所需条件（媒体）
- 需要在 WordPress 解压完整核心更新包的极短窗口期内下手。据报道，攻击者在反复探测存在漏洞的路径以抓住这一时机
- KEV
- 2026年11月2日本站查看 CISA 的 KEV 目录时（目录最后更新于10月30日），CVE-2026-119977 未被列入
本站观点：未列入 KEV 并不意味着安全。目前观察到的是疑似探测的请求数量，没有成功入侵的报告，但修复才发布几天，情况可能发生变化。最有可能滞后的是关闭了自动更新的站点。
已知与未知
| 项目 | 已公布的内容 | 状态 |
|---|---|---|
| 漏洞 | 完整安装包核心更新期间的竞态条件，可能导致未经认证的 RCE；已在 7.1.4 中修复（WordPress 安全公告） | 已确认（WordPress） |
| 受影响版本 | 4.7 至 7.1.3（CVE 记录、安全公告） | 已确认（WordPress、CVE 记录） |
| 修复版本 | 7.1.4 以及一直追溯至 4.7 的各分支的修复（安全公告） | 已确认（WordPress） |
| 严重性 | WordPress：低（无评分）。CVE 记录：CVSS v3.1 8.1（高危），攻击复杂度为高 | 已确认（因评估者而异） |
| CVE 编号 | CVE-2026-119977，10月31日发布；WordPress 的公告中没有 | 已确认（CVE 记录） |
| 针对该漏洞的请求 | 最初21小时内超过18,500个（安全厂商，媒体） | 已报道（安全厂商） |
| 成功入侵 | 该厂商未报告任何成功入侵 | 无报告 |
| CISA KEV | 截至11月2日未列入 | 未列入 |
| NVD 自己的评估 | 尚未添加（状态：Received） | NVD 尚未评分 |
更新可以推迟吗？
据安全公告，该问题出现在使用完整安装包的核心更新期间。官方来源没有进一步说明条件，也没有说明尚未更新的站点是否正在遭到持续攻击。本站不靠猜测来填补这一空白：既然有修复，请尽快确认你的版本是修复版本。
如果你使用共享主机或托管型 WordPress 主机
有些套餐会替你更新 WordPress 核心，有些则交给你自己。这取决于你的套餐和合同，所以请在管理界面检查版本，并阅读服务商的通知。
服务商可能做什么（取决于你的套餐）
- 提供核心的自动更新或一键更新工具
- 在适用时发布其应对情况的通知
你需要做什么
- 在“更新”页面确认你的版本是修复版本
- 确认自动更新没有被关闭，如果被关闭了，请手动更新
- 通过官方网站阅读服务商通知，而不是通过邮件链接
- 同样保持插件和主题为最新版本
更新期间你的站点可能会短暂不可用。部分服务器会因文件权限或磁盘空间而更新失败。如果发生这种情况，请先确保可以从备份恢复，然后联系你的服务商。
提防冒充你的服务商的虚假邮件
当某个漏洞成为新闻时，冒充主机或域名服务商的邮件（“立即更新”“你的账户将被暂停”）会变多。不要通过邮件中的链接登录；请通过你自己收藏的官方网站查看。识别方法见什么是网络钓鱼。
本站观点：问题不在更新按钮，而在于更新已经停摆
这个漏洞出在本该保护站点安全的流程本身。修复发布后，剩下的风险在于关闭了自动更新的站点、没有人负责更新的站点，以及停留在旧分支的站点。关于如何确定优先级，请见如何确定漏洞的优先级（CVSS、EPSS、KEV），关于披露之后该怎么做，请见漏洞响应手册。
时间线
2026年10月28日
WordPress 项目发布 7.1.4，修复了更新过程中一个可能导致 RCE 的漏洞、若干存储型 XSS 问题等。10月29日
WordPress 发布 GitHub 安全公告：完整安装包核心更新期间的竞态条件，修复已回移到一直追溯至 4.7 的所有分支。CVE 字段为“No known CVE”。10月30日
媒体报道，一家 WordPress 安全厂商在部署防火墙规则9分钟后首次命中，并在最初21小时内记录到超过18,500个请求。未报告成功入侵。10月31日
Wordfence 以 CNA 身份发布 CVE-2026-119977，CVSS v3.1 8.1（高危）。NVD 状态：Received。11月2日
本站查看了公告、安全公告、CVE 记录和 KEV。该 CVE 未列入 KEV。
来源（公开记录）
于2026年11月2日核实。官方公告在前，媒体报道在后。
- WordPress 项目，"WordPress 7.1.4 Security Release"（2026年10月28日）— wordpress.org
- WordPress GitHub 安全公告 GHSA-4w3m-c66w-69mg，"A race condition during core updates that could lead to remote code execution"（2026年10月29日）— github.com
- CVE-2026-119977（2026年10月31日由 Wordfence 发布）— cve.org / nvd.nist.gov
- CISA 已知被利用漏洞目录（11月2日针对该 CVE 核实；数据最后更新于10月30日）— cisa.gov / JSON
- 媒体报道：SecurityWeek，"Fresh WordPress Vulnerability in Attackers' Crosshairs"（2026年10月30日）— securityweek.com
更新记录
2026-11-02：首个版本，基于 WordPress 的公告与安全公告、CVE-2026-119977 的记录以及 SecurityWeek 的报道。11月2日该 CVE 未列入 KEV。
延伸阅读
- 你的站点是否遭到攻击：如何检查你的网站或服务器是否已被入侵
- 加固 WordPress：WordPress 安全
- 准备工作：备份与恢复要点 / 安全资产清单检查表
- 同一个月的另一个严重修复：PHP 的两个严重漏洞与紧急修复版本（2026年10月） / 紧急补丁之后，检查你的站点实际运行的 PHP
- 术语：什么是 RCE（远程代码执行） / 什么是 CVSS