WordPress 於2026年10月28日發布 7.1.4，修補核心升級過程中一個未經驗證即可遠端執行程式碼的弱點（CVE-2026-119977，CVSS 3.1 評分 8.1，High）。攻擊者已在探測短暫的升級視窗。如貴公司以 WordPress 營運公司網站、網店或推廣頁，請今天確認版本已是 7.1.4，或所屬分支的對應保安修補版。
事件經過
官方發佈說明指升級過程存在弱點，可在升級視窗期間導致遠端程式碼執行，由 Umut Bayram 負責披露。官方帖文沒有標明 CVE 或 CVSS。Wordfence 其後以 CVE-2026-119977 追蹤此問題，並評 CVSS 3.1 為 8.1。Tenable 列出同一 CVE，發布日期為2026年10月31日，評分及描述與 Wordfence 一致。
根據 Wordfence 及引用其說法的報道，受影響的 WordPress Core 版本為 4.7 至 7.1.3。當網站進行完整套件核心更新時，新檔案會解壓到 wp-content/upgrade 下可預測、而且很多伺服器可經網頁存取的暫存路徑，當中包括安裝程式。未經驗證的攻擊者若在恰當時刻請求該暫存安裝程式，便有機會在 WordPress 清理前推進至執行 PHP。實驗室環境中視窗可能只有數秒，但攻擊者會反覆探測暫存的 setup-config.php 等路徑。
- 現行主線修補：WordPress 7.1.4（亦已納入 7.2 Beta 3）。
- 分支回溯修補（例子）：7.0.8、6.9.11、6.8.12 … 以至 4.7.39。WordPress 表示會向合資格分支（目前至 4.7）提供回溯；只有最新主要版本獲積極支援。
- 並非外掛問題：這是 WordPress 核心。另外仍須保持 PHP 已修補——可參閱較早關於 PHP2Shell 的說明，那是另一個執行環境問題。
現時是探測，未見確認大規模入侵
Wordfence 表示在發佈數小時後為付費客戶部署防火牆規則，約九分鐘後便見到符合規則的請求。它報告在首 21 小時內，針對暫存安裝路徑的請求超過 18,500 次。10月30日，The Hacker News 引述 Wordfence，指 24 小時內攔截 62,969 次嘗試。當時 THN 仍指未有 CVE 編號；公開 CVE 列表約於10月31日出現 CVE-2026-119977。
Wordfence 與 THN 均未聲稱已確認與此漏洞相關的成功入侵。數字應理解為已攔截或觀察到的探測。Wordfence 亦指出，直達暫存 PHP 檔的請求可能繞過外掛式防火牆，除非啟用 Extended Protection（或同等的早期載入）；免費版規則則延至2026年11月27日才提供。網頁應用程式防火牆（WAF）只是過渡措施，不能代替核心修補。
為甚麼與香港中小企有關
不少香港中小企、代理商及網店在共享寄存或小型 VPS 上運行 WordPress。自動更新往往已開啟，升級視窗可能在無人留意控制台時出現。若競賽攻擊成功，後果可能包括網頁後門、不明管理員帳戶或惡意外掛，並進一步影響客戶資料、付款整合或電郵。HKCERT 亦已發出保安公告「WordPress 多個漏洞」（2026年11月2日，中度風險），涵蓋 7.1.4 之前的 WordPress 版本及相應分支回溯版。無論風險評級如何，都應盡快修補。
現在應該怎樣做
- 立即更新。在「控制台 → 更新」確認已是 7.1.4，或所屬分支的修補版本（例如 7.0.8，以及所列的 6.x／5.x／4.x 回溯版）。如自動更新未完成，請按「立即更新」。
- 未修補前，在網頁伺服器層減少暴露。在可行情況下，禁止以 HTTP 存取（或執行 PHP）wp-content/upgrade。這可減輕競賽風險，但不能代替升級。
- 檢查日誌。留意對暫存 setup-config.php 的請求，或 wp-content/upgrade 下異常的 PHP，尤其是近期核心更新前後。
- 檢查是否留下後門。不明管理員帳戶、未安裝過的外掛，或非你放置的 PHP 檔，應進行惡意軟件掃描及進一步調查。
- 修補後繼續適度啟用自動更新，並保持寄存環境的 PHP 為最新。
- 把 WAF 規則視作臨時措施。付費 Wordfence 用戶或已有規則；免費版延遲及 Extended Protection 限制仍然適用。修補核心仍然必要。
我們的網絡安全及合規團隊可協助評估風險，託管支援亦可負責日常 WordPress 及伺服器修補。
常見問題
這是否等同 PHP2Shell？
不是。PHP2Shell 涉及 PHP 執行環境的嚴重漏洞；CVE-2026-119977 是 WordPress 核心升級視窗的競賽問題。兩者都應處理。
我們使用託管 WordPress，是否已安全？
請向寄存商確認每個網站是否已是 7.1.4 或正確回溯版，以及是否阻擋對 wp-content/upgrade 的網頁存取。不要假設已完成。
有香港網站被入侵嗎？
我們未見公開確認有成功利用（無論香港或其他地區）。現有來源主要報道主動探測及已攔截的嘗試。
單靠防火牆是否足夠？
不足夠。應先修補。防火牆可在延遲期間減低風險（尤其是早期載入模式），但不是永久解法。
資料來源
- WordPress.org：〈WordPress 7.1.4〉，2026年10月28日
- WordPress.org：7.1.4 版本說明
- Wordfence：〈WordPress 7.1.4 Security Release Fixes Upgrade-Window RCE〉，2026年10月
- Wordfence Threat Intel：WordPress Core 4.7.0–7.1.3 未驗證升級視窗 RCE
- The Hacker News：〈WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours〉，2026年10月30日
- Tenable：CVE-2026-119977
- HKCERT：〈WordPress 多個漏洞〉，2026年11月2日