WordPress远程代码执行漏洞正遭活跃攻击，已拦截超58000次漏洞利用尝试

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年11月1日 09:16
江苏

去阅读

黑客正尝试利用WordPress核心程序的一处未授权远程代码执行漏洞，攻击窗口出现在网站执行软件更新的短暂间隙。

Wordfence提供的数据记录显示，24小时内共拦截58693次攻击。该数值代表攻击尝试数量，不等同于实际被攻陷的网站数量。

WordPress于2026年10月28日发布7.1.4版本，修复共计22个安全漏洞。该升级相关漏洞危险性较高：攻击者无需账号、无需用户交互即可发起攻击，但攻击成立需要同时满足多项环境条件与时间条件。

WordPress远程代码执行漏洞

漏洞编号：CVE‑2026‑119977，CVSS评分为8.1分，影响版本范围：WordPress 4.7 ~ 7.1.3。该漏洞攻击复杂度高，主要是受严苛的时间窗口限制；一旦攻击得逞，会造成严重后果。

在完整的核心程序升级过程中，受漏洞影响的站点会把文件解压到 wp‑content/upgrade 下路径可预测的临时目录。这些临时目录存放安装组件，更新执行期间，外部可通过网站访问该目录。

在系统清理删除文件之前，未授权攻击者如果能够访问到临时目录下的 setup‑config.php 文件，就可以操作临时安装程序，有机会实现PHP代码执行。

漏洞利用的必要条件：安装解压文件存在、临时目录路径公网可访问、该目录下允许执行PHP脚本，并且攻击者拥有充足时间完成攻击流程。

实验室复现观察，该暴露窗口仅持续数秒。攻击者采用轮询反复探测的方式，力求在更新释放临时文件的瞬间命中目标路径。

Wordfence表示，防护规则上线9分钟后就触发第一条告警；上线后的21小时内，针对临时安装文件路径的请求超过18500次。有两大攻击来源，持续对一批网站开展轮询探测，时长约14.5小时。

本次修复方案：对升级临时目录增加随机化处理、增加索引防护文件、阻止临时配置数据被不安全调用。安全补丁也向下移植到受影响的旧版本分支；不过WordPress官方仅维护最新版本。

Wordfence于世界协调时10月28日20:30，为高级版、Care以及应急响应客户推送防火墙防护规则。免费版用户按照标准30天延迟策略，将于11月27日获取该防护规则。

增强防护十分关键：攻击请求可以直接访问临时PHP文件，不需要加载WordPress主程序。管理员不能以为拿到防护规则就万事大吉，需要确认防火墙配置优化到位。防火墙拦截不能替代补丁修复。

网站管理员操作建议：进入后台【仪表盘>更新】，升级至WordPress 7.1.4或者对应分支的补丁版本；审计日志，重点排查 wp‑content/upgrade 路径下的异常访问；检查陌生管理员账号、未经许可安装的插件、可疑PHP文件。

升级版本可以消除漏洞风险；扫描和防火墙仅作为修复工作的补充。