CVE-2026-119977：WordPress 升级漏洞正遭利用，请更新到 7.1.4

漏洞是什么

CVE-2026-119977 是 WordPress 自我升级代码中的一个竞争条件与时机有关的漏洞：两个动作几乎同时发生，攻击者趁“检查”和“使用”之间的空档抢先下手。该 CVE 记录由 Wordfence 以 CNACVE 编号机构，有权分配 CVE 编号并撰写官方描述的组织身份撰写，指出问题源于完整核心升级时使用的“可预测且可通过网络访问的暂存路径”。简单说，WordPress 解压新版本时，临时文件放在一个外人能猜到、也能从网上访问的位置。

这就给了未经认证的攻击者一个短暂的窗口，在服务器上执行代码。漏洞类型为 CWE-367，即“检查时间与使用时间”（TOCTOU）问题。

严重程度如何

Wordfence 给出的 CVSS 3.1 基础评分为 8.1（高）。向量为 AV:N/AC:H/PR:N/UI:N：可通过网络攻击，不需要权限，也不需要用户操作；但攻击复杂度高，因为攻击者必须抓准升级窗口。

11 月 3 日，CISA 根据“存在积极利用的证据”，将 CVE-2026-119977 列入已知被利用漏洞目录（KEV）CISA 公开的漏洞清单，收录有证据表明已被用于真实攻击的漏洞；美国联邦机构必须在期限内修复。美国联邦民事机构的修复期限是 11 月 6 日。

是概念验证，还是真实攻击？

被列入 CISA 目录，意味着已有真实攻击的证据。公开的概念验证证明漏洞可以被利用的演示代码，常由研究人员发布；仅凭它并不代表有人已经遭到攻击代码是另一回事，我们没有找到已公开的利用代码。CISA 没有公布攻击者身份，也没有说明有多少网站被攻陷。CISA 自己的评估认为该漏洞无法自动化利用，这与一个依赖时机的攻击相符。

现在该怎么做

1. 查看版本。在后台进入 仪表盘 > 更新。如果显示 4.7.0 到 7.1.3 之间的任何版本，就在受影响范围内。
2. 更新到 7.1.4。WordPress 表示，开启了自动后台更新的网站会自动开始更新，请确认更新已经完成。
3. 如果使用的是旧分支，WordPress 表示修复正在移植到 4.7 及之后的所有分支，准备好后陆续发布。只有最新版本获得积极支持，因此 7.1.4 是更稳妥的目标。
4. 如果网站在 7.1.4 之前做过核心升级，请检查入侵迹象：WordPress 目录中出现陌生的 PHP 文件、新增的管理员账号，或不是你做的改动。

WordPress 7.1.4 一共修复了 22 个安全问题，大多数是跨站脚本（XSS）。版本说明将本漏洞描述为“核心更新期间的竞争条件，可能导致远程代码执行”，发现者为研究员 Umut Bayram。

同一周，手机也迎来了一批修复：我们对 Android 2026 年 11 月安全公告的分析，解释了公告中最严重的漏洞 CVE-2026-58868。