24小时内超过6万起攻击针对WordPress远程代码执行漏洞

原创

ZM
ZM

暗镜

2026年11月7日 07:00
北京

去阅读

黑客正利用 WordPress 核心程序中的一个远程代码执行漏洞，该漏洞可能在软件更新期间暴露网站安全。Wordfence 提供的威胁情报快照显示，24 小时内共拦截了 60,471 次攻击尝试。

这些是攻击尝试，而不是已确认的网站入侵，而且该数字并未确定有多少个网站成为攻击目标。WordPress 于 2026 年 10 月 28 日发布了 7.1.4 版本，修复了 22 个安全漏洞。此次更新修复了代码执行漏洞、存储型跨站脚本攻击漏洞、信息泄露漏洞以及权限问题。WordPress官方公告敦促管理员立即更新，并感谢研究员 Umut Bayram 报告了升级缺陷。

该漏洞涉及竞态条件，这意味着攻击者必须在恰当的时机访问临时安装。与需要窃取密码或现有帐户的漏洞不同，此漏洞无需登录即可利用。但是，成功利用取决于 WordPress 核心完整升级期间存在的特定条件。

在此过程中，WordPress 会将更新文件提取到一个临时暂存目录中。可预测的文件夹名称和公开可访问的安装文件可能会短暂地暴露一个独立的 WordPress 安装程序。攻击者如果能够访问该安装程序，就可以将其连接到他们控制的数据库，从而建立一条在服务器上运行恶意代码的途径。

Cybersecuritynews.com 此前对WordPress 7.1.4 安全更新的报道指出，该补丁会在临时文件夹名称中添加 16 个随机字符，恢复对 index.php 文件的保护性处理，并阻止从工作目录复制 wp-config.php 文件。这些更改针对的是暴露的暂存环境，而非存在漏洞的第三方插件。攻击窗口通常只有几秒钟，因此利用该漏洞并非不可能，但难度不小。重复请求会给攻击者更多机会在网站更新文件暴露期间发起攻击。Wordfence 报告称，在安全补丁发布后，攻击者已尝试利用该漏洞，这表明尽管存在时间限制，攻击者仍在测试该漏洞。

网站所有者应打开控制面板，选择“更新”，并确认已安装 WordPress 7.1.4。使用旧版本分支的网站需要安装相应的安全更新。官方版本文档列出了已修复的版本，包括 7.0.8、6.9.11 以及向下兼容至 4.7.39 的版本。WordPress 4.6 及更早版本不再接收安全更新。在支持的配置下，后台自动更新应该会发布新版本，但管理员应验证更新是否完成，而不是想当然地认为网站已受到保护。文档也明确指出，目前仅对最新 WordPress 版本提供积极支持。旧分支的修复程序仅提供更新途径，而非推迟维护的理由。管理员还可以限制对 wp-content/upgrade/ 的公共网络访问，以增强安全性。仅靠插件防火墙可能无法覆盖解压后的安装程序，因为它与主站点分开加载。在升级过程中，应用核心安全更新仍然是解决此漏洞的关键。