2026-11-02
WordPress 7.1.4 漏洞 CVE-2026-119977：可能導致遠端程式碼執行的核心更新競態條件已修補；請檢查版本與自動更新
2026 年 10 月 28 日，WordPress 專案發布安全版本 7.1.4，修補核心更新過程中一個可能導致遠端程式碼執行的漏洞。根據 WordPress 的 GitHub 安全公告，在使用完整安裝包進行核心更新時，WordPress 會把新檔案解壓縮到可透過網路存取的升級資料夾內一個可預測的目錄中，未經驗證的攻擊者若在解壓縮期間贏得競態，就可能達成遠端程式碼執行（RCE）。修補內含於 7.1.4，並已回補到一路追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 於 10 月 31 日由擔任 CNA 的 Wordfence 發布，CVSS v3.1 評分為 8.1（高），攻擊複雜度為高；WordPress 的公告將其評為低，並未給出分數。據 SecurityWeek 報導，一家 WordPress 資安廠商在部署防火牆規則 9 分鐘後首次命中，並在最初 21 小時內記錄到超過 18,500 個針對暫存更新位置的請求；該廠商表示未回報任何成功入侵。本站於 11 月 2 日查核 CISA 的已知遭利用漏洞（KEV）目錄，該 CVE 未被列入。啟用背景自動更新的網站應會自行更新；關閉自動更新的網站應在「更新」頁面手動更新。本站結論：確認你的版本，若自動更新沒有作用，請今天就手動更新。