蓝易云CDN：关于WordPress Core远程代码执行漏洞（CVE-2026-119977）的预警提示

2026年10月28日，WordPress 官方发布7.1.4安全更新，修复了一项存在于核心程序升级过程中的远程代码执行漏洞，编号为 CVE-2026-119977。

该漏洞允许未经身份验证的攻击者，在特定升级时间窗口内，通过访问暴露的临时升级文件触发服务器端代码执行。

该问题已进入公开漏洞数据库，相关攻击活动受到安全厂商关注。建议所有使用 WordPress 建站的企业及个人站长尽快检查程序版本，及时完成安全更新。

一、漏洞基本信息 🔴

需要特别说明：该漏洞并非普通的后台权限漏洞，也不意味着所有运行旧版 WordPress 的网站随时都能被远程执行代码。其利用具有明确的时间窗口限制。

二、漏洞原理分析

WordPress 在执行完整核心程序升级时，需要下载、解压和暂存新的程序文件，再将其替换到正式运行目录。

问题在于，存在漏洞的版本可能将部分升级文件暂存于可预测、可通过 Web 访问的位置。

攻击者如果在升级过程中准确访问相关文件，就可能触发未经授权的代码执行。

漏洞形成过程如下：

flowchart TD
    A["WordPress开始核心升级"] --> B["下载并解压升级文件"]
    B --> C["创建临时暂存目录"]
    C --> D{"暂存文件能否被外部访问？"}
    D -->|不能| E["继续执行正常升级"]
    D -->|能够| F["攻击者尝试访问暂存文件"]
    F --> G{"是否命中有效升级时间窗口？"}
    G -->|否| H["无法通过该路径完成利用"]
    G -->|是| I["可能触发未经授权的代码执行"]

这种问题属于典型的时间检查与使用之间的竞态条件，即 TOCTOU。

它的危险之处在于，管理员即使没有泄露密码，也可能在网站自动更新或手动升级期间暴露攻击窗口。

一旦攻击成功，可能导致服务器文件被修改、敏感配置泄露、恶意程序植入，严重时影响整个网站的正常运行。

三、哪些WordPress网站需要重点检查？

运行WordPress 7.1.3及更早受影响版本的站点，应优先开展版本核查。但不同历史分支有独立的安全修复版本，不能简单依据版本号大小判断所有历史分支是否仍存在漏洞。

以下网站需要格外重视：

• 长期没有升级WordPress核心程序的企业网站。
• 开启核心程序自动更新但未及时检查更新结果的网站。
• 服务器允许公网直接访问升级临时目录的网站。
• 使用旧版WordPress运行电商、会员及业务管理系统的网站。

网站当前能够正常访问，并不能证明不存在漏洞或此前未受到攻击。