跳到正文
原文
Wordfence 官方博客· István Márton·· 6 小时前精选编辑评分90

攻击者正探测 WordPress 核心升级窗口远程代码执行漏洞 CVE-2026-119977

Attackers Actively Probing for Upgrade-Window RCE Vulnerability in WordPress Core

编辑导读

攻击者自 2026 年 10 月 28 日 CVE-2026-119977 公开后开始探测 WordPress 核心升级窗口漏洞，Wordfence Firewall 已拦截超过 240,000 次利用尝试。

推荐理由

文章披露升级窗口漏洞的攻击规模、影响范围和排查要点，可帮助站点负责人安排升级并检查入侵迹象。

2026年10月28日，WordPress Security Team 发布了 WordPress 7.1.4，同时为旧版本分支发布了回溯安全更新，修复了多个安全问题，其中最引人注目的是 WordPress 核心中一个未经身份验证的远程代码执行漏洞，编号为 CVE-2026-119977。该漏洞影响 WordPress 核心 4.7 至 7.1.3 版本，未经身份验证的攻击者可在核心升级期间利用该漏洞在服务器上执行代码，进而导致网站被彻底攻陷。由于这是一个竞态条件漏洞，只能在核心升级进行期间的短暂窗口内利用，因此实际上很难成功利用它来实现远程代码执行。根据我们的记录，攻击者在漏洞披露当天便开始针对该漏洞进行攻击。Wordfence Firewall 已拦截超过 240,000 次针对该漏洞的利用尝试。

Wordfence Premium、Wordfence Care 和 Wordfence Response 用户已于 2026年10月28日收到一项防火墙规则，用于防范针对 WordPress 核心中该漏洞的已知利用方式。使用免费版 Wordfence 的网站将在 30 天后的 2026年11月27日获得相同保护。

该漏洞还于 2026年11月2日被加入 Cybersecurity and Infrastructure Security Agency（CISA）的已知被利用漏洞（KEV）目录。

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-119977

鉴于威胁行为者正积极尝试利用该漏洞，我们敦促用户尽快将网站更新至 WordPress 7.1.4，或其所在分支对应的已修补安全版本。启用自动后台更新的 WordPress 网站应当已经更新至已修补版本。

由于该漏洞存在于当前已安装 WordPress 版本的升级过程中，从存在漏洞的版本更新至已修补版本时，最后仍会运行一次存在漏洞的升级流程。不过，这个窗口仅持续更新过程本身的时间；一旦网站运行已修补版本，后续升级便不再受其影响。因此，我们仍建议尽快更新，不要推迟。作为额外预防措施，网站所有者可以在更新前于 Web 服务器层面阻止访问 /wp-content/upgrade/ 目录中的 PHP 文件。运行于扩展保护模式且已启用防火墙优化的 Wordfence Premium、Wordfence Care 和 Wordfence Response 用户，在更新期间已受到保护，可免受此次攻击。

来自 Wordfence Intelligence 的漏洞摘要

WordPress 核心 4.7.0 - 7.1.3 - 未经身份验证的升级窗口暂存安装器远程代码执行

8.1

CVSS 评级
8.1（高危）

CVE 编号
CVE-2026-119977

受影响版本
各种

已修补版本
4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8, 7.1.4

受影响软件

WordPress [wordpress]

研究人员

Umut Bayram

WordPress Core 在 4.7 至 7.1.3 版本中存在远程代码执行漏洞。原因是完整软件包核心升级期间使用了可预测且可通过网络访问的暂存路径。这使得未经验证的攻击者有可能在升级窗口期内于服务器上执行代码。

更多详情 >

漏洞详情

我们在一篇专门的博客文章中介绍了此漏洞的完整技术细节，建议阅读该文章以获取全面分析：

WordPress 7.1.4 修复了升级窗口期内未经验证的 RCE 漏洞

深入了解攻击数据

以下数据突显了威胁行为者针对此漏洞发起的实际利用尝试。在我们观察到的攻击中，威胁行为者向 /wp-content/upgrade/ 下可预测的暂存目录中的安装程序文件发送请求，试图在核心升级进行期间访问网站。

GET /wp-content/upgrade/wordpress-6.9.11/setup-config.php HTTP/1.1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36
Host: [redacted]

如果安装程序可以访问，攻击者便能完成暂存安装、为该安装创建管理员账户，并将恶意 PHP 代码上传至服务器。这为攻击者提供了一个据点，使其可以完全攻陷整个网站，包括安装后门、修改现有内容或窃取敏感数据。

Wordfence 防火墙

下图展示了攻击者可能采取的利用步骤，以及 Wordfence 防火墙会在哪个环节阻止攻击者成功利用此漏洞。

请注意，由于此漏洞针对的是暂存目录中不会加载 WordPress 的独立 PHP 文件，因此必须优化 Wordfence 防火墙，并将其设置为扩展保护模式，才能检查并拦截这些请求。

已阻止的利用尝试总数

自该漏洞公开披露以来，Wordfence 防火墙已阻止超过 240,000 次利用尝试。

根据我们的数据，攻击者从 2026 年 10 月 28 日，即漏洞披露当天，开始针对网站发起攻击，首日仅有少量尝试。攻击量最高的时间段是 2026 年 10 月 29 日至 11 月 1 日，并在 10 月 30 日达到峰值，当天阻止了超过 74,000 次利用尝试。

关于这些数字的说明

大量请求被阻止，并不意味着有大量网站遭到成功利用。这些请求中的大多数很可能是自动化的尝试，旨在利用可预测的暂存路径，希望恰好在核心升级进行期间访问网站。由于这是一个竞态条件漏洞，只有当请求在短暂的升级窗口期内到达时才有可能成功，而且攻击者必须在暂存目录被删除前完成整个攻击。因此，在实践中很难成功利用漏洞并实现远程代码执行。

主要恶意 IP 地址

以下 IP 地址目前是针对此漏洞最为活跃的攻击来源：

  • 103.59.160.171
    • 超过 74,900 个被阻止的请求。
  • 2001:df1:e8c0::106b
    • 超过 40,400 个被阻止的请求。
  • 51.89.103.78
    • 超过 34,600 个被阻止的请求。
  • 185.177.72.61
    • 超过 4,400 个被阻止的请求。
  • 195.3.220.7
    • 超过 2,900 个被阻止的请求。
  • 96.62.218.148
    • 超过 2,300 个被阻止的请求。
  • 20.217.186.29
    • 超过 2,000 个被阻止的请求。
  • 87.58.197.83
    • 超过 2,000 个被阻止的请求。
  • 154.26.238.8
    • 超过 1,800 个被阻止的请求。
  • 20.46.43.126
    • 超过 1,700 个被阻止的请求。

入侵指标

我们建议检查您的 Web 服务器访问日志，查看是否有任何对 /wp-content/upgrade/ 目录下 PHP 文件的请求，尤其是对 setup-config.php 的请求，因为任何合法的升级流程都不需要对这些文件发起外部请求。来自以下 IP 地址的请求应被视为尤其可疑：

  • 103.59.160.171
  • 2001:df1:e8c0::106b
  • 51.89.103.78
  • 185.177.72.61
  • 195.3.220.7
  • 96.62.218.148
  • 20.217.186.29
  • 87.58.197.83
  • 154.26.238.8
  • 20.46.43.126

我们还建议检查 /wp-content/upgrade/ 目录中是否遗留有任何文件或子目录，并检查已安装插件和 WordPress 用户的列表中是否存在任何异常内容。

如果您发现入侵证据，我们建议删除任何异常文件、插件和未知管理员账户，并检查网站中是否存在后门。没有发现任何此类日志记录并不能保证您的网站未遭入侵。

结论

在今天的文章中，我们介绍了针对 WordPress 核心中一个未经身份验证的远程代码执行漏洞的攻击数据，该漏洞影响 4.7 至 7.1.3 版本，允许未经身份验证的攻击者在核心升级期间在服务器上执行代码，从而导致网站完全失陷。尽管这一竞态条件漏洞难以利用，因为它只能在核心升级进行期间的短暂时间窗口内被利用，但我们的威胁情报显示，攻击者在该漏洞披露的同一天，即 2026 年 10 月 28 日，便开始将其作为攻击目标；攻击量最高的时间段为 2026 年 10 月 29 日至 11 月 1 日。Wordfence 防火墙已拦截超过 240,000 次针对该漏洞的利用尝试。

Wordfence Premium、Wordfence Care 和 Wordfence Response 用户已于 2026 年 10 月 28 日收到一项防火墙规则，用于防范针对 WordPress 核心中此漏洞的已知利用方式。使用 Wordfence 免费版的网站将在 30 天后的 2026 年 11 月 27 日获得相同的保护。

我们强烈敦促所有 WordPress 用户确保其网站正在运行 WordPress 7.1.4，或其对应分支中已修复安全漏洞的版本。虽然升级到已修复版本本身仍会经过存在漏洞的升级流程，但这只是一个短暂的一次性时间窗口；在更新之前，从 Web 服务器级别阻止访问 /wp-content/upgrade/ 目录中的 PHP 文件，可提供额外保护。如果您的朋友或同事正在运行 WordPress 网站，请务必将此安全公告转发给他们，因为这些网站仍可能未受保护且尚未打补丁。

如果您认为您的网站可能因该漏洞或其他漏洞而遭到入侵，我们通过 Wordfence Care 提供事件响应服务。如果您需要立即清理网站，Wordfence Response 提供相同的服务，并提供全天候（24/7/365）服务和 1 小时响应时间。这两款产品均提供人工支持，以在您需要进一步协助时提供帮助。

文章《攻击者积极探测 WordPress 核心升级窗口 RCE 漏洞》最初发布于 Wordfence。

来源：Wordfence 官方博客 · https://www.wordfence.com/blog/2026/11/attackers-actively-probing-for-upgrade-window-rce-vulnerability-in-wordpress-core/

部分链接为推广/关联链接。

#安全/漏洞#安全加固#Wordfence