这两天在替朋友过一遍他手上几个 WordPress 站的补丁状态，有一站还停在 6.9 分支，翻公告翻到 10 月 28 日那次 7.1.4 安全发布，越看越觉得这事不能只当成一条更新日志处理。官方一次修了 22 个问题，里面最扎眼的是一个不需要账号、盯着升级窗口抢单的竞态条件，可以直接摸到服务器上的 PHP 执行，编号 CVE-2026-119977。
先把机理说清楚。WordPress 在做整包核心更新时，会把新版本文件解包到 wp-content/upgrade 下一个路径可预测的暂存目录，这份临时副本里连安装器都带着。很多服务器的这个目录是 Web 可达的，里面的文件会当 PHP 跑。于是一个未认证的攻击者只要在解包完成到清理临时文件之间的几秒里，抢到对暂存安装器的请求，就能在服务器上执行代码。Wordfence 在实验环境里观察到这个窗口通常只持续数秒，所以 CVSS 向量里攻击复杂度标的是 H（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）。路径人人都知道，胜负全在时机。
评级上有个值得留意的分歧，我两边都核了原文：Wordfence 的 CVE 记录给 8.1 High，理由是最终后果是 RCE；而 WordPress 项目自己的公告 GHSA-4w3m-c66w-69mg 把同一场竞态评为 Low，大概是按触发概率折算的。两种口径我没有合并，读者自己权衡。受影响范围是 4.7.0 到 7.1.3，各个分支的修复版本见下图，4.6 及更早的分支已经不再发安全更新。
利用状态才是这件事紧迫的原因。VulnCheck 在 10 月 30 日把它收进了自家的 KEV 目录，CISA 在 11 月 3 日也收进联邦 KEV，给联邦文职机构的修复截止日就是今天 11 月 6 日。Wordfence 的拦截统计按日波动：10 月 30 日前后报的是 24 小时拦截 62,969 次，11 月 4 日的口径是过去 24 小时 12,391 次。攻击者确实在轮询这些暂存路径等窗口，这个不是纸面风险。
给正在自查的朋友一份可执行的清单，命令都出自 WP-CLI 官方文档（2026-11-06 查阅），不是我现编的：
一、确认版本。后台看 Dashboard > Updates，或者直接看 wp-includes/version.php。有命令行条件的话用 WP-CLI，官方文档给法是：
wp core version
二、升级。主线站升到 7.1.4，停在老分支的按图对号入座，比如 6.9 分支升 6.9.11。有个容易忽略的点：只要站点还没打补丁，它每一次整包升级——包括升级到 7.1.4 那一次——都会开出一个脆弱窗口。所以尽量挑低流量时段做，做完再核一遍版本号。
三、核文件完整性。升级之后顺手跑官方的校验命令，确认核心文件没有被塞过东西：
wp core verify-checksums
四、翻日志。检查最近几次核心升级时间点前后的 Web 访问日志，重点是对 /wp-content/upgrade/ 下路径的请求，尤其是那种不经过 WordPress 入口、直接命中 PHP 文件的 GET 和 POST。同时看看有没有升级之后多出来的 PHP 文件和来历不明的新管理员账号。
五、WAF 只是缓冲。Wordfence 的拦截规则 10 月 28 日 20:30 UTC 下发，付费版即时生效，免费版要等到 11 月 27 日。要注意这个利用是直接请求暂存 PHP 文件、不加载 WordPress 的，Wordfence 自己也强调需要开 Extended Protection 让防火墙在 PHP 直接命中之前运行。规则能挡一轮轮询，替代不了升级本身。
我自己的误判也记一笔：一开始以为这种几秒窗口的洞在野利用会很冷清，翻到 CISA 的收录和逐日四位数到五位数的拦截量才知道，轮询是全天候的。补丁窗口每开一次就赌一次运气，这事没有任何侥幸空间，先把版本确认了再说别的。
来源：
1. Wordfence，WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE，https://www.wordfence.com/blog/2026/10/wordpress-7-1-4-security-release-rce/
2. Wordfence 漏洞库 CVE-2026-119977 记录，https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-core-470-713-unauthenticated-upgrade-window-staged-installer-remote-code-execution
3. VulnCheck KEV 与 Exploit Bulletin 摘要，https://exploitbulletin.com/bulletin/2026-10-31/race-condition-in-wordpress-core-upgrade-staging-paths-allows-cve-2026-119977
4. CISA KEV 收录与修复截止日（转述核对于 CISO Voice），https://cisovoice.com/breaches-vulnerabilities/cisa-wordpress-rce-kev
5. Ostorlab 中文摘要（评级分歧与拦截数据），https://blog.ostorlab.co/zh/wordpress-core-upgrade-window-rce-cve-2026-119977.html
6. WP-CLI 官方命令文档 wp core version / wp core verify-checksums，https://developer.wordpress.org/cli/commands/core/（2026-11-06 查阅）
**HKTULU**
2026-11-06
|
|
