WordPress 7.1.4 修复升级窗口中的未认证远程代码执行漏洞，发布后已发现利用尝试

简而言之：WordPress 7.1.4 于 2026 年 10 月 28 日发布。据 WordPress 称，该版本包含针对 22 个安全漏洞的修复。其中最严重的是核心更新流程中一个未经身份验证的竞态条件，可能导致远程代码执行。威胁行为者已在积极尝试利用该漏洞，因此站点所有者应确认 WordPress 已更新至 7.1.4，或其相应分支对应的安全版本。

Wordfence Premium、Care 和 Response 客户在 10 月 28 日，即发布约三小时后收到了新的防火墙规则。Wordfence Free 用户将在标准的 30 天延迟期结束后，于 2026 年 11 月 27 日收到同一规则。

WordPress 7.1.4 是一次安全版本更新，修复了 WordPress 核心中的广泛问题，包括存储型跨站脚本、拒绝服务、信息泄露、授权缺陷，以及可能导致远程代码执行的竞态条件。

这项远程代码执行漏洞格外突出，因为它不需要站点账户。然而，成功利用它要求攻击者在 WordPress 解压完整核心更新时命中一个非常狭窄的窗口。在普通实验室环境中，观察到该窗口仅持续数秒。尽管如此，攻击者仍在反复探测存在漏洞的路径，以期捕捉到该窗口。

大多数 WordPress 站点应能通过自动后台更新收到此安全版本，但我们强烈建议检查站点，不要想当然地认为更新已经完成。前往 仪表板 > 更新，确认您的站点正在运行 WordPress 7.1.4，或其分支对应的已修补版本。

Wordfence 防火墙保护

Wordfence 威胁响应团队于 2026 年 10 月 28 日 20:30 UTC 部署了新的拦截型防火墙规则，约在 WordPress 宣布安全版本发布三小时后。Wordfence Premium、Wordfence Care 和 Wordfence Response 客户立即收到了该规则。Wordfence Free 用户将在标准的 30 天延迟期后，于 2026 年 11 月 27 日收到该规则。

重要：该漏洞利用方式会在未首先加载 WordPress 的情况下直接请求暂存的 PHP 文件。使用 Wordfence 的站点应确认防火墙已使用扩展保护进行优化，以便在直接 PHP 请求到达目标文件之前运行防火墙。收到该规则并不能代替安装安全更新。

未经认证的升级窗口暂存安装器远程代码执行

WordPress 核心 4.7.0 - 7.1.3 - 未经认证的升级窗口暂存安装器远程代码执行

8.1

CVSS 评分
8.1 (高)

受影响版本
多种

已修补版本
4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8, 7.1.4

受影响软件

WordPress [wordpress]

研究人员

Umut Bayram

WordPress Core 的 4.7 至 7.1.3 版本存在远程代码执行漏洞。原因是，在使用完整软件包进行核心升级时，会使用可预测且可通过网络访问的暂存路径。这使未经身份验证的攻击者有可能在升级窗口期间在服务器上执行代码。

更多详情 >

在使用完整 WordPress 包进行核心更新期间，受影响版本会将新文件解压到 wp-content/upgrade 下的一个可预测目录中。该临时副本包含 WordPress 安装程序。由于许多服务器上的暂存目录可通过网络访问，未经身份验证的攻击者若恰好在正确时刻请求安装程序，便能与暂存的 WordPress 副本交互，并最终执行 PHP 代码。

严重程度反映了最终影响：成功利用该漏洞可使攻击者能够在服务器上执行代码。不过，攻击复杂度很高。攻击者需要一次包含安装程序文件的完整包更新、对暂存目录树的公开 Web 和 PHP 访问权限、可预测或已发现的暂存路径，以及足够的时间在 WordPress 清理临时文件之前完成攻击。

最重要的是，攻击者必须赢得这场竞速。在实验室环境中，易受攻击的暂存目录通常只会在数秒内保持可用。这一狭窄窗口使一次性请求不太可能成功，但重复的自动轮询可以提高攻击者的成功机会。

WordPress 7.1.4 通过随机化暂存目录、添加索引防护并防止暂存配置数据被不安全地应用，解决了这一问题。该修复还回移植到了包括 WordPress 4.7 在内的受影响分支。

主动利用已在进行中

Wordfence 遥测数据显示，攻击者已经在积极尝试利用该漏洞。我们的新防火墙规则部署后仅 9 分钟便首次匹配到请求。在最初 21 小时内，我们记录到超过 18,500 个针对暂存 setup-config.php 安装程序路径的请求。

其中两个最大的来源持续轮询一小批网站约 14.5 小时，其行为符合试图捕捉短暂升级窗口的特征。其他来源则测试了大量暂存目录和版本名称的变体。并非每个请求都使用了完全准确的漏洞路径，但持续轮询和精确布局探测表明，攻击者很快便理解了这一竞态条件，并开始针对它展开攻击。

WordPress 7.1.4 中的其他安全修复

WordPress 7.1.4 详细的版本发布文档列出了 22 个漏洞。除升级窗口中的 RCE 外，该版本还修复了以下问题：

多个存储型跨站脚本漏洞，涉及区块分隔符、Categories 区块、Comments Pagination 和 Post Navigation 标签、Customizer 选择性刷新、个人数据删除请求、特别构造的用户名，以及 Image 和 Playlist 区块处理。
若干 Interactivity API 问题，包括不安全的 URL、事件处理器、内部属性和对象绑定；原型污染；Script Module 数据遮蔽；Interactivity Router 对上传文本文件的处理；以及一种持续存在的拒绝服务问题。
未经身份验证的信息泄露问题，可能暴露未发布的 Customizer 变更集。
Notes REST API 中的授权缺陷，影响能够审核评论但无法编辑备注所附文章的自定义角色。
在 eMudhra 被吊销后更新捆绑的根证书。

许多其余漏洞需要一个经过身份验证的 Contributor、Author 或 Editor 账户，其中若干漏洞还需要受害者查看攻击者控制的内容。这些前置条件使其暴露程度低于未经身份验证的 RCE，但并不意味着这些问题无害。当特权用户查看恶意页面时，存储型跨站脚本可能导致账户接管或站点更改。

WordPress 站点所有者应采取的措施

确认 WordPress 已完成更新。安装 WordPress 7.1.4 或您所用分支对应的安全版本。WordPress 4.6 及更早版本不再接收安全更新，应升级至受支持的版本。
确认 Wordfence Firewall 已启用并完成优化。Extended Protection 对本次发布中最严重的漏洞至关重要，因为恶意请求会直接发送至 PHP 文件，而不会先加载 WordPress。
不要依赖防火墙来代替修补。防火墙可以在更新期间降低暴露风险，但安装修复后的 Core 版本才能消除漏洞行为。
如果您的站点仍未修补，请检查升级目录中的可疑活动。查找 wp-content/upgrade 下的 PHP 文件收到意外请求、陌生的管理员账户、意外出现的插件，或并非由您放入其中的 PHP 文件。
更新后运行 Wordfence 扫描。这可以发现意外的 Core 更改、恶意文件以及其他需要调查的迹象。

结语

WordPress 7.1.4 是一次重要的安全发布。其最严重的漏洞可能导致未经身份验证的远程代码执行，但仅会出现在完整 Core 更新解压期间的短暂竞态窗口内。攻击者已经在反复探测站点，试图捕捉这一时机。

Wordfence Premium、Wordfence Care 和 Wordfence Response 客户已于 October 28, 2026 收到我们的防火墙规则。Wordfence Free 用户将于 November 27, 2026 获得相同的保护。使用 Wordfence 的站点应确认 Extended Protection 已启用，所有站点所有者都应确认 WordPress 已更新至包含修补的版本。

我们感谢 Umut Bayram 负责任地报告升级窗口漏洞，感谢 WordPress Security Team 协调此次发布，也感谢所有研究人员的工作促成了 WordPress 7.1.4。

订阅 Wordfence 邮件列表，以便在重要的 WordPress 安全新闻和漏洞报告发布后第一时间收到通知。

文章《WordPress 7.1.4 修补未经身份验证的升级窗口 RCE；发布后检测到利用尝试》首发于 Wordfence。