WordPress 外掛漏洞幾乎每週都有，但這次出問題的是 WordPress 核心本身，而且已經被實際拿來攻擊。
美國網路安全暨基礎設施安全局（CISA）在 11 月 3 日把 CVE-2026-119977 列入「已知遭利用漏洞清單」（Known Exploited Vulnerabilities，KEV）。這個漏洞影響 WordPress 4.7 到 7.1.3，官方已在 10 月 28 日的 7.1.4 安全更新中修補。我們來看看這個漏洞怎麼發生、哪些版本要更新，以及站長可以怎麼確認自己的網站。
漏洞重點整理
| 項目 | 內容 |
|---|---|
| CVE 編號 | CVE-2026-119977 |
| 漏洞類型 | 檢查時間與使用時間競爭條件（TOCTOU Race Condition，CWE-367） |
| 影響版本 | WordPress 4.7 ～ 7.1.3 |
| 嚴重程度 | CVSS 3.1 分數 8.1（High），依 Wordfence |
| 需要登入嗎 | 不需要，未登入的攻擊者即可利用 |
| 官方修補 | 2026 年 10 月 28 日 WordPress 7.1.4 安全更新 |
| 列入 CISA KEV | 2026 年 11 月 3 日 |
| 回報者 | Umut Bayram（Picus Security） |
漏洞怎麼發生
依 CISA 與 Wordfence 的說明，問題出在 WordPress 用「完整套件」方式升級核心時：
- 升級過程會先把新版本的檔案放到一個暫存路徑。
- 這個暫存路徑可以被預測，而且可以從網路直接存取。
- 攻擊者只要在升級進行的那段時間內存取到這個路徑，就有機會在伺服器上執行程式碼。
這也是它被歸類為競爭條件漏洞的原因：攻擊者要搶在升級完成前的空檔下手。
聽起來時間窗口很短，但攻擊已經實際發生：Wordfence 在漏洞頁面上寫到，過去 24 小時內攔下了 29,810 次針對這個漏洞的攻擊（以撰稿時查詢的頁面數字為準）。
哪些版本要更新
最直接的做法：更新到 7.1.4 以上
不管目前用哪個版本，更新到 7.1.4 或更新的版本就已修補。WordPress 官方也提醒，只有最新版本會被積極維護，所以這是最推薦的做法。
暫時不能升大版本：看自己的分支
有些網站因為佈景主題或外掛相容性，暫時沒辦法升到 7.1。WordPress 官方公告表示，這次的修補也回補到所有仍可接收安全更新的舊分支（目前到 4.7），所以留在原本的分支、更新到該分支的修補版本也可以。
WordPress 的版本號是「分支.修正版」的格式，前兩段數字是分支，最後一段是修正版。例如 6.8.10 的分支是 6.8、修正版是 10。
查法是：先找出自己網站的分支，再看下表該分支的修補版本，目前版本等於或高於這個版本就已修補，低於就要更新。
舉例來說，網站目前是 6.8.10，分支是 6.8，表格寫 6.8.12，10 小於 12，代表還沒修補，要更新到 6.8.12 以上。
| 目前分支 | 已修補的最低版本 |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.6 | 6.6.11 |
| 6.5 | 6.5.14 |
| 6.4 | 6.4.14 |
| 6.3 | 6.3.14 |
| 6.2 | 6.2.15 |
| 6.1 | 6.1.16 |
| 6.0 | 6.0.18 |
5.0 ～ 5.9 與 4.7 ～ 4.9 的分支也有修補版本，例如 5.9 是 5.9.20、4.9 是 4.9.35，完整清單請見 Wordfence 漏洞資料庫。不過還停在 4.x、5.x 的網站，除了這個漏洞，佈景主題、外掛與 PHP 版本通常也已經很舊，建議趁這次一起規劃升級。
資料來源：Wordfence 漏洞資料庫、WordPress 7.1.4 官方公告。
7.1.4 不只修這一個
WordPress 7.1.4 是一次安全更新，除了這個升級過程的漏洞，還修了多個儲存型 XSS（Stored XSS）問題，以及未登入使用者可以看到未發布的自訂器變更等問題。完整清單可以到 WordPress 7.1.4 官方公告查看。
站長可以做什麼
確認目前版本
登入 WordPress 後台，在「控制台 → 更新」頁面可以看到目前版本。如果是用 WP-CLI 管理，可以執行：
wp core version版本低於上表同分支的修補版本，就要盡快更新。
自動更新有沒有在跑
官方公告提到，支援自動背景更新的網站會自動開始更新。但有些主機商或網站管理者會關閉核心自動更新，這時就要手動處理。
更新時機與事後檢查
這個漏洞的風險正好落在「升級的那段時間」，所以除了盡快升到修補版本，也建議：
- 升級後檢查網站根目錄與
wp-content底下有沒有不認得的 PHP 檔案。 - 檢查後台有沒有多出不認得的管理員帳號。
- 有使用網站防火牆（WAF）或資安外掛的，確認規則已更新。
這些是一般網站遭入侵後的基本檢查，不是官方針對這個漏洞列出的步驟；如果有發現異常，建議請主機商或資安人員協助鑑識。
CISA 的修補期限
CISA 給美國聯邦機構的修補期限是 2026 年 11 月 6 日，並要求依 BOD 26-04 指令與鑑識分級規定處理。
這個期限只約束美國聯邦機構，台灣的企業與個人站長不受約束；但漏洞已經被實際利用，期限已過也不代表可以晚點再更新。
發佈留言