適用對象：經營 WordPress 網站的人（自有伺服器、VPS、共享主機、代管型 WordPress 主機），以及把網站更新交給代理商或業者的人。本文根據 WordPress 專案的公告與安全公告、CVE 紀錄及媒體報導撰寫，不涉及攻擊步驟。
發展中：隨著更多資訊公布，本頁將持續更新
- 適用對象
經營 WordPress 網站的人（自有伺服器、VPS、共享主機、代管型 WordPress 主機），以及把網站更新交給代理商或業者的人。
- 已確認的影響範圍查看表格 ↓
- 漏洞
- 受影響版本
- 修補版本
另外2項
- 嚴重性
- CVE 編號
- 尚未確認的事項
- CISA 是否會將該 CVE 列入已知遭利用漏洞目錄（11 月 2 日未列入）
- 是否有已確認的遭利用或入侵事件（資安廠商表示未回報）
- NVD 自己的評估（狀態：Received）
另外1項
- 專案何時發布舊分支的修補版本（公告表示將在準備就緒後發布）
- 現在要做的事查看步驟 ↓
- 檢查你的 WordPress 版本
- 確認自動更新正常運作
- 備份，然後手動更新
另外3項
- 更新後檢查版本與網站
- 若網站由他人管理，請詢問對方
- 若你較晚更新，請查看 10 月 28 日以來的活動
- 最後查證
- 截至 2026 年 11 月 2 日（日本時間）
續報計畫與查證紀錄
WordPress 關於安全版本 7.1.4 的公告建議立即更新，並表示啟用背景自動更新的網站將開始自行更新。該 CVE 於 10 月 31 日發布。媒體報導指出觀察到針對該漏洞的請求，但沒有成功入侵的回報。
今天要做什麼
檢查你的 WordPress 版本
在管理畫面開啟「儀表板」>「更新」，查看目前版本以及是否提供較新的版本。若無法登入，或你管理多個網站，且伺服器上已安裝 WP-CLI，可使用 wp core version。修補版本為 7.1.4（7.1 分支）、7.0.8、6.9.11、6.8.12、6.7.11、6.6.11、6.5.14 與 6.4.14。公告還列出更舊分支的修補（見下表）。
確認自動更新正常運作
預設情況下，WordPress 會自行套用安全修補等小幅更新。這些更新可能被設定檔中的設定、外掛、主機設定或檔案權限關閉。在管理畫面開啟「工具」>「網站健康狀態」，查看背景更新是否有問題。若你不清楚自動更新為何關閉，這次請手動更新。
備份，然後手動更新
將檔案與資料庫備份到伺服器以外的位置（備份與復原基本要點）。接著在「更新」頁面按下「立即更新」。執行期間不要關閉瀏覽器，也不要啟動其他更新。
更新後檢查版本與網站
確認「更新」頁面顯示的是最新版本，並確認首頁、登入與聯絡表單可正常運作。7.1.4 也包含數項儲存型 XSS 的修補，因此請留意外掛與佈景主題給出的警告。
若網站由他人管理，請詢問對方
對於由代理商、合作夥伴、共享主機或代管型主機經營的網站，請今天就問清楚由誰、何時更新 WordPress 核心。同時也請自己在管理畫面檢查版本。
若你較晚更新，請查看 10 月 28 日以來的活動
查看 10 月 28 日以來是否有你不認得的請求、不是你放置的檔案，以及不是你新增的管理員帳號。檢查方式請見如何檢查你的網站或伺服器是否遭入侵。
自動更新已開啟
會自行開始（公告）。請在「更新」頁面確認已完成
自動更新已關閉或失敗
由你更新。備份、更新、測試
由代理商或主機業者管理
問清楚由誰、何時更新，並自己檢查版本
公告與安全公告怎麼說
WordPress 專案於 2026 年 10 月 28 日在 wordpress.org 發布「WordPress 7.1.4 Security Release」，並附有修補清單。對該漏洞的說明見 10 月 29 日發布的 GitHub 安全公告。
- 版本
- WordPress 7.1.4 於 2026 年 10 月 28 日發布。公告建議立即更新你的網站
- 漏洞（安全公告）
- 在使用完整安裝包進行核心更新時，WordPress 會把新檔案解壓縮到可透過網路存取的升級資料夾內一個可預測的目錄中。未經驗證的攻擊者若在解壓縮期間贏得競態，就可能達成遠端程式碼執行（RCE）
- 公告中的措辭
- 列為升級過程中的一個弱點，可能在升級時段內導致遠端程式碼執行。公告頁面未給出嚴重性、CVE 編號或受影響版本清單
- 修補
- 已在 7.1.4 中修補。根據安全公告，為照顧使用舊分支的使用者，修補已回補到一路追溯至 4.7 的所有分支。公告表示回補版本將在準備就緒後發布
- 嚴重性（WordPress）
- 安全公告將其評為低，未給出分數
- 自動更新
- 公告表示，對於啟用背景自動更新的網站，更新程序將自動開始
- 支援
- 公告表示，只有最新版本的 WordPress 受到積極支援
- 版本中的其他修補
- 包括數項儲存型 XSS 問題，以及未經驗證使用者可發現的未發布 Customizer 變更集等（公告的清單）
- CVE
- CVE-2026-119977，由資安廠商 Wordfence 以 CNA 身分發布。NVD 的狀態為 Received，NVD 尚未加入自己的評估
- 說明
- WordPress 核心 4.7 至 7.1.3：完整安裝包核心升級期間使用的暫存路徑可預測且可透過網路存取，使未經驗證的攻擊者能夠在升級時段內於伺服器上執行程式碼
- 嚴重性（CVE）
- CVSS v3.1 8.1（高）：網路、無需權限、無需使用者互動、攻擊複雜度為高。弱點類型 CWE-367（檢查時間到使用時間的競態條件）
- 分歧
- WordPress 的安全公告評為低，CVE 紀錄評為高。兩者來自不同的評估者，因此並非哪一方單純出錯。本站的看法是：既然已有修補，即使是難以利用的漏洞，更新也是正確的優先事項
修補版本（來源：安全公告）
| 分支 | 受影響版本 | 修補版本 |
|---|---|---|
| 7.1 | 7.1.0 至 7.1.3 | 7.1.4 |
| 7.0 | 7.0.0 至 7.0.7 | 7.0.8 |
| 6.9 | 6.9.0 至 6.9.10 | 6.9.11 |
| 6.8 | 6.8.0 至 6.8.11 | 6.8.12 |
| 6.7 | 6.7.0 至 6.7.10 | 6.7.11 |
| 6.6 | 6.6.0 至 6.6.10 | 6.6.11 |
| 6.5 | 6.5.0 至 6.5.13 | 6.5.14 |
| 6.4 | 6.4.0 至 6.4.13 | 6.4.14 |
| 6.3 | 6.3.0 至 6.3.13 | 6.3.14 |
| 6.2 | 6.2.0 至 6.2.14 | 6.2.15 |
| 6.1 | 6.1.0 至 6.1.15 | 6.1.16 |
| 6.0 | 6.0.0 至 6.0.17 | 6.0.18 |
| 5.9 至 5.0 | 至各分支的最後一個版本 | 5.9.20、5.8.19、5.7.21、5.6.23、5.5.24、5.4.25、5.3.27、5.2.30、5.1.28、5.0.31 |
| 4.9 至 4.7 | 至各分支的最後一個版本 | 4.9.35、4.8.34、4.7.39 |
安全公告未列出 4.6 及更舊版本的修補。舊分支並不一定會自行更新，因此若你仍在使用，請手動更新，或規劃遷移到受支援的版本。
遭利用情況（來自媒體報導）
以下內容來自資安廠商的報告，經媒體轉述。WordPress 專案的公告並未提及遭利用情況。
- 觀察者
- 一家 WordPress 資安廠商。據 SecurityWeek（10 月 30 日）報導，該廠商表示修補推出後數小時內就開始遭利用
- 數字
- 該廠商新防火牆規則在部署 9 分鐘後首次命中，最初 21 小時內記錄到超過 18,500 個針對暫存更新位置的請求
- 成功入侵
- 該廠商未回報任何成功入侵
- 攻擊所需條件（媒體）
- 需要在 WordPress 解壓縮完整核心更新包的極短時段內下手。據報導，攻擊者正反覆探測有漏洞的路徑以抓住這個時機
- KEV
- 2026 年 11 月 2 日本站查核 CISA 的 KEV 目錄時（目錄最後更新於 10 月 30 日），CVE-2026-119977 未被列入
本站看法：未列入 KEV 並不代表安全。目前觀察到的是疑似探測的請求數量，沒有成功入侵的回報，但修補才發布幾天，情況可能改變。最可能落後的是關閉自動更新的網站。
已知與未知
| 項目 | 已公布的內容 | 狀態 |
|---|---|---|
| 漏洞 | 完整安裝包核心更新期間的競態條件，可能導致未經驗證的 RCE；已在 7.1.4 中修補（WordPress 安全公告） | 已確認（WordPress） |
| 受影響版本 | 4.7 至 7.1.3（CVE 紀錄、安全公告） | 已確認（WordPress、CVE 紀錄） |
| 修補版本 | 7.1.4 以及一路追溯至 4.7 的各分支的修補（安全公告） | 已確認（WordPress） |
| 嚴重性 | WordPress：低（無分數）。CVE 紀錄：CVSS v3.1 8.1（高），攻擊複雜度為高 | 已確認（因評估者而異） |
| CVE 編號 | CVE-2026-119977，10 月 31 日發布；WordPress 的公告中沒有 | 已確認（CVE 紀錄） |
| 針對該漏洞的請求 | 最初 21 小時內超過 18,500 個（資安廠商，媒體） | 已報導（資安廠商） |
| 成功入侵 | 該廠商未回報任何成功入侵 | 無回報 |
| CISA KEV | 截至 11 月 2 日未列入 | 未列入 |
| NVD 自己的評估 | 尚未加入（狀態：Received） | NVD 尚未評分 |
更新可以延後嗎？
根據安全公告，該問題出現在使用完整安裝包的核心更新期間。官方來源沒有進一步說明條件，也沒有說明尚未更新的網站是否正持續遭到攻擊。本站不以猜測來填補這個空白：既然有修補，請盡快確認你的版本是修補版本。
若你使用共享主機或代管型 WordPress 主機
有些方案會替你更新 WordPress 核心，有些則交由你自己處理。這取決於你的方案與合約，所以請在管理畫面檢查版本，並閱讀業者的公告。
業者可能會做的事（取決於你的方案）
- 提供核心的自動更新或一鍵更新工具
- 在適用時發布其因應狀況的公告
你要做的事
- 在「更新」頁面確認你的版本是修補版本
- 確認自動更新沒有被關閉，若已被關閉，請手動更新
- 透過官方網站閱讀業者公告，而非電子郵件中的連結
- 也要保持外掛與佈景主題為最新版本
更新期間你的網站可能短暫無法使用。部分伺服器會因檔案權限或磁碟空間而更新失敗。若發生這種情況，請先確保能從備份還原，再聯絡你的業者。
留意假冒你的業者的釣魚電子郵件
當某個漏洞成為新聞時，假冒主機或網域業者的電子郵件（「立即更新」「你的帳號將被停用」）會增加。不要透過電子郵件中的連結登入；請透過你自己收藏的官方網站查看。辨識方式請見釣魚是什麼。
本站看法：問題不在更新按鈕，而在於更新已經停擺
這個漏洞出在本應保護網站安全的流程本身。修補發布後，剩下的風險在於關閉自動更新的網站、沒有人負責更新的網站，以及停留在舊分支的網站。關於如何決定優先順序，請見如何決定漏洞的優先順序（CVSS、EPSS、KEV），關於揭露之後該怎麼做，請見漏洞應變手冊。
時間軸
2026 年 10 月 28 日
WordPress 專案發布 7.1.4，修補更新過程中一個可能導致 RCE 的漏洞、數項儲存型 XSS 問題等。10 月 29 日
WordPress 發布 GitHub 安全公告：完整安裝包核心更新期間的競態條件，修補已回補到一路追溯至 4.7 的所有分支。CVE 欄位為「No known CVE」。10 月 30 日
媒體報導，一家 WordPress 資安廠商在部署防火牆規則 9 分鐘後首次命中，並在最初 21 小時內記錄到超過 18,500 個請求。未回報成功入侵。10 月 31 日
Wordfence 以 CNA 身分發布 CVE-2026-119977，CVSS v3.1 8.1（高）。NVD 狀態：Received。11 月 2 日
本站查核公告、安全公告、CVE 紀錄與 KEV。該 CVE 未列入 KEV。
來源（公開紀錄）
於 2026 年 11 月 2 日查核。官方公告在前，媒體報導在後。
- WordPress 專案，"WordPress 7.1.4 Security Release"（2026 年 10 月 28 日）— wordpress.org
- WordPress GitHub 安全公告 GHSA-4w3m-c66w-69mg，"A race condition during core updates that could lead to remote code execution"（2026 年 10 月 29 日）— github.com
- CVE-2026-119977（2026 年 10 月 31 日由 Wordfence 發布）— cve.org / nvd.nist.gov
- CISA 已知遭利用漏洞目錄（11 月 2 日針對該 CVE 查核；資料最後更新於 10 月 30 日）— cisa.gov / JSON
- 媒體報導：SecurityWeek，"Fresh WordPress Vulnerability in Attackers' Crosshairs"（2026 年 10 月 30 日）— securityweek.com
更新紀錄
2026-11-02：初版，依據 WordPress 的公告與安全公告、CVE-2026-119977 的紀錄以及 SecurityWeek 的報導撰寫。11 月 2 日該 CVE 未列入 KEV。
延伸閱讀
- 網站是否遭攻擊：如何檢查你的網站或伺服器是否遭入侵
- 加固 WordPress：WordPress 安全
- 事前準備：備份與復原基本要點 / 資安盤點清單
- 同一個月的另一個嚴重修補：PHP 的兩個嚴重漏洞與緊急修補版本（2026 年 10 月） / 緊急修補之後，檢查你的網站實際執行的 PHP
- 名詞解釋：什麼是 RCE（遠端程式碼執行） / 什麼是 CVSS