WordPress 7.1.4 修复升级窗口 RCE，攻击者已在探测网站

WordPress 7.1.4 修复 CVE-2026-119977（CVSS 8.1），属于核心升级期间的未认证远程代码执行。请确认版本并检查升级路径探测。

WordPress 于2026年10月28日发布 7.1.4，修复了核心升级过程中一个未经身份验证即可远程执行代码的弱点（CVE-2026-119977，CVSS 3.1 评分 8.1，High）。攻击者已在探测短暂的升级窗口。如果你用 WordPress 运营公司网站、网店或营销页，请今天确认版本已是 7.1.4，或所在分支对应的安全回移植版本。

事件经过

官方发布说明称升级过程存在弱点，可在升级窗口期间导致远程代码执行，由 Umut Bayram 报告。官方帖文未给出 CVE 或 CVSS。Wordfence 随后以 CVE-2026-119977 跟踪该问题，并给出 CVSS 3.1 评分 8.1。Tenable 列出同一 CVE，发布日期为2026年10月31日，评分和描述与 Wordfence 一致。

根据 Wordfence 及引用其说法的报道，受影响的 WordPress Core 版本为 4.7 至 7.1.3。当网站进行完整包核心更新时，新文件会解压到 wp-content/upgrade 下可预测、且在许多服务器上可经 Web 访问的临时路径，其中包含安装程序。未经身份验证的攻击者若在恰当时刻请求该临时安装程序，就有机会在 WordPress 清理前推进到执行 PHP。实验室环境中窗口可能只有数秒，但攻击者会反复探测临时的 setup-config.php 等路径。

当前主线修复：WordPress 7.1.4（也已包含在 7.2 Beta 3 中）。
分支回移植（示例）：7.0.8、6.9.11、6.8.12 … 直至 4.7.39。WordPress 表示会向符合条件的分支（目前到 4.7）提供回移植；只有最新主要版本得到积极支持。
不是插件问题：这是 WordPress 核心。另外仍需保持 PHP 已打补丁——可参见此前关于 PHP2Shell 的说明，那是另一个运行时问题。

目前是探测，未见确认的大规模入侵

Wordfence 表示在发布数小时后为付费客户部署了防火墙规则，约九分钟后就看到匹配的请求。它报告在最初 21 小时内，针对临时安装路径的请求超过 18,500 次。10月30日，The Hacker News 引述 Wordfence，称 24 小时内拦截了 62,969 次尝试。当时 THN 仍表示尚无 CVE 编号；公开 CVE 列表约在10月31日出现 CVE-2026-119977。

Wordfence 与 THN 均未声称已确认与此漏洞相关的成功入侵。这些数字应理解为已拦截或观察到的探测。Wordfence 还指出，直达临时 PHP 文件的请求可能绕过插件式防火墙，除非启用 Extended Protection（或同等的早期加载）；免费版规则则推迟到2026年11月27日。Web 应用防火墙（WAF）只是过渡手段，不能替代核心补丁。

为什么与香港中小企业有关

不少香港中小企业、代理商和网店在共享主机或小型 VPS 上运行 WordPress。自动更新常常已开启，升级窗口可能在无人查看控制台时出现。若竞态攻击成功，后果可能包括网页后门、不明管理员账号或恶意插件，并进一步影响客户数据、支付集成或电子邮件。HKCERT 也已发布安全公告“WordPress Multiple Vulnerabilities”（2026年11月2日，中度风险），涵盖 7.1.4 之前的 WordPress 版本及相应分支的回移植版本。无论风险评级如何，都应尽快打补丁。

良好的补丁管理和网站监控有助于尽早发现版本滞后和异常流量。

现在应该怎么做

立即更新。在“控制台 → 更新”中确认已是 7.1.4，或所在分支的修复版本（例如 7.0.8，以及所列的 6.x／5.x／4.x 回移植）。如果自动更新未完成，请点击“立即更新”。
在打补丁前，在 Web 服务器层减少暴露。在可行时，禁止以 HTTP 访问（或执行 PHP）wp-content/upgrade。这可减轻竞态风险，但不能替代升级。
检查日志。留意对临时 setup-config.php 的请求，或 wp-content/upgrade 下异常的 PHP，尤其是近期核心更新前后。
检查是否留下后门。不明管理员账号、未安装过的插件，或非你放置的 PHP 文件，应进行恶意软件扫描并进一步调查。
打补丁后继续适度启用自动更新，并保持主机环境的 PHP 为最新。
把 WAF 规则当作临时措施。付费 Wordfence 用户可能已有规则；免费版延迟和 Extended Protection 限制仍然适用。修补核心仍然必要。

我们的网络安全与合规团队可协助评估风险，托管支持也可负责日常 WordPress 和服务器补丁。

常见问题

这是否等同于 PHP2Shell？

不是。PHP2Shell 涉及 PHP 运行时的严重漏洞；CVE-2026-119977 是 WordPress 核心升级窗口的竞态问题。两者都应当处理。

我们使用托管 WordPress，是否已经安全？

请向主机商确认每个网站是否已是 7.1.4 或正确的回移植版本，以及是否阻断对 wp-content/upgrade 的 Web 访问。不要假设已经完成。

有香港网站被入侵吗？

我们未见公开确认有成功利用（无论香港或其他地区）。现有来源主要报道主动探测和已拦截的尝试。

单靠防火墙是否足够？

不够。应先打补丁。防火墙可在延迟期间降低风险（尤其是早期加载模式），但不是永久方案。