CVE-2026-119977CVSS 8.1无需认证的暂存安装程序竞争条件
攻击者可在更新清理前访问临时安装文件，执行服务器代码；无需账户。
CISA 确认 WordPress 更新窗口 RCE 已遭利用，须修补并排查
CISA 确认 WordPress 更新窗口 RCE 已遭实际利用，标记需要取证分诊，美国联邦处置期限为 11 月 6 日。安装 7.1.4 或对应分支安全回移版本。该竞争条件需要完整包更新及可从公网执行的暂存文件，受害者数量仍未知。
- 披露时间
- 2026年10月28日
- 更新于 2026年11月3日
- 严重程度
- CVSS 8.1
- 本页收录 1 个 CVE
- 波及范围
- 未修复的 WordPress 4.7–7.1.3 在完整包更新期间，暂存目录可从公网访问并执行 PHP
- php
- 在野利用
- 已发现
- CISA KEV 确认实际利用，并标记需要取证分诊。
发生了什么
10 月 28 日发布批次将存储型 XSS、Interactivity API、信息泄露、权限修复与安装程序竞争条件及证书信任更新一并发布。各项所需权限及受影响分支不同，不能把无需认证 RCE 的前提套用到全部同批问题。
攻击者必须定位临时目录，并在清理前完成攻击；Wordfence 测试中通常只有数秒。处于空闲状态的 WordPress 安装并非持续暴露于该竞争条件。L4 反映主流平台正遭主动攻击，并不代表已证明大规模入侵。尚无受害者数量。
11 月 3 日利用状态更新： CISA 收录 KEV，更新了此前仅有尝试证据的评估：确认该 CVE 已遭实际利用，但未指定成功受害者，也未改变更新窗口前提。目录的 11 月 6 日期限及 BOD 26-04 义务适用于受约束联邦机构；勒索活动使用情况仍为未知。上列所有分支修复仍需保留。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| WordPress 7.1 | 7.1.4 | |
| WordPress 7.0 | 7.0.8 | |
| WordPress 6.9 | 6.9.11 | |
| WordPress 6.8 | 6.8.12 | |
| WordPress 6.7 | 6.7.11 | |
| WordPress 6.6 | 6.6.11 | |
| WordPress 6.5 | 6.5.14 | |
| WordPress 6.4 | 6.4.14 | |
| WordPress 6.3 | 6.3.14 | |
| WordPress 6.2 | 6.2.15 | |
| WordPress 6.1 | 6.1.16 | |
| WordPress 6.0 | 6.0.18 | |
| WordPress 5.9 | 5.9.20 | |
| WordPress 5.8 | 5.8.19 | |
| WordPress 5.7 | 5.7.21 | |
| WordPress 5.6 | 5.6.23 | |
| WordPress 5.5 | 5.5.24 | |
| WordPress 5.4 | 5.4.25 | |
| WordPress 5.3 | 5.3.27 | |
| WordPress 5.2 | 5.2.30 | |
| WordPress 5.1 | 5.1.28 | |
| WordPress 5.0 | 5.0.31 | |
| WordPress 4.9 | 4.9.35 | |
| WordPress 4.8 | 4.8.34 | |
| WordPress 4.7 | 4.7.39 | |
| WordPress 4.6 及更早版本 | 无修复 | 不再接收安全更新，需迁移 |
案发时间线
2026年10月28日
WordPress 发布安全更新
2026年10月29日
Wordfence 报告暂存安装程序利用尝试
2026年11月3日
CISA 将安装程序竞争条件漏洞列入 KEV
CISA 依据实际利用证据收录，列出 11 月 6 日处置期限并标记需要取证分诊，未提供受害者数量。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- WordPress 安全发布公告一手来源
- WordPress 详细发布说明及分支回移一手来源
- Wordfence 原始研究及处置建议一手来源
- Wordfence 漏洞记录一手来源
- NHS England CC-4884一手来源
- CISA 11 月 3 日 KEV 通告一手来源根据实际利用证据收录 CVE-2026-119977。
- CISA 实时 KEV 目录一手来源11 月 3 日收录，11 月 6 日处置期限，需要取证分诊；勒索活动使用情况未知。