2026-11-02
WordPress 7.1.4 漏洞 CVE-2026-119977：可能导致远程代码执行的核心更新竞态条件已修复；请检查版本与自动更新
2026年10月28日，WordPress 项目发布安全版本 7.1.4，修复了核心更新过程中一个可能导致远程代码执行的漏洞。据 WordPress 的 GitHub 安全公告，在使用完整安装包进行核心更新时，WordPress 会把新文件解压到可通过网络访问的升级目录内一个可预测的目录中，未经认证的攻击者如果在解压期间赢得竞态，就可能实现远程代码执行（RCE）。修复包含在 7.1.4 中，并已回移到一直追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 于10月31日由担任 CNA 的 Wordfence 发布，CVSS v3.1 评分为 8.1（高危），攻击复杂度为高；WordPress 的公告将其评为低，并未给出评分。据 SecurityWeek 报道，一家 WordPress 安全厂商在部署防火墙规则9分钟后首次命中，并在最初21小时内记录到超过18,500个针对临时更新位置的请求；该厂商表示未报告任何成功入侵。本站于11月2日查看了 CISA 的已知被利用漏洞（KEV）目录，该 CVE 未被列入。启用了后台自动更新的站点应会自行更新；关闭了自动更新的站点应在“更新”页面手动更新。本站结论：确认你的版本，如果自动更新没有起作用，请今天就手动更新。