WordPress 关键漏洞使 4.7 至 7.1.3 版本面临网站接管攻击风险
要点速览
- •编号为 CVE-2026-119977 的 WordPress 关键漏洞可能使攻击者无需登录即可控制网站。
- •该漏洞影响 WordPress 4.7 至 7.1.3 版本，范围涵盖自 2016 年 12 月以来近十年的版本。
- •弱点出现在完整更新期间，此时安装程序会短暂置于公开可访问的文件夹中，攻击者可能因此在服务器上运行自己的代码。
- •WordPress 驱动着全球 39.5% 的网站，由于该漏洞涉及平台核心而非单一插件或主题，其潜在影响范围十分广泛。
- •Wordfence 在漏洞防护上线仅九分钟后便记录到首次防火墙拦截，但报告未说明攻击尝试次数或受影响网站数量。
根据 Hokanews 的报道，WordPress 的一个关键安全漏洞可能使攻击者无需登录即可控制网站。该漏洞影响 4.7 至 7.1.3 版本，攻击时机为平台更新过程中的短暂窗口期——此时其安装程序会通过公开文件夹暂时可被访问。
根据 Coin Bureau 分享的信息，WordPress 驱动着全球 39.5% 的网站，这意味着大约每十个网站中就有四个运行在同一套底层软件上。如此规模使这一被报告的漏洞可能具有广泛的影响范围，因为它涉及平台自身的更新流程，而非某个单一的插件或主题。令人担忧的是，攻击者可能能够在完整更新期间直接在网站服务器上执行自己的代码——这一后果可能导致网站本身被未经授权地控制。
漏洞的运作方式
在 WordPress 完整更新期间，平台会短暂地将安装程序置于一个公开可访问的文件夹中。根据 Coin Bureau 的信息，攻击者若在这一短暂窗口期内访问该位置，便可在服务器上运行自己的代码。由于这种暴露仅存在于更新进行期间，因此风险与这一临时暂存阶段相关，而非某个持续开放的入口。
该漏洞不要求攻击者登录受影响的 WordPress 网站。攻击利用的是更新过程中产生的临时暴露，可能使网站被未经授权地控制。
该漏洞影响从 4.7 到 7.1.3 的所有 WordPress 版本。根据 Coin Bureau 报告的信息，这一范围涵盖了近十年的版本，最早可追溯至 2016 年 12 月。如此宽泛的范围意味着不同年代的安装均处于报告的受影响范围内，而不仅仅是最新版本。
Wordfence 标记漏洞 CVE-2026-119977
安全公司 Wordfence 已标记该问题，其现在以编号 CVE-2026-119977 进行追踪。CVE 编号是用于编目公开披露的软件漏洞的标准标识系统，为研究人员和网站管理员提供了针对同一漏洞的共同参考点。该漏洞还引发了防火墙防护活动，Wordfence 在防护上线仅九分钟后便记录到首次拦截。
报告的时机表明，防火墙在其防护激活后不久便开始拦截与该漏洞相关的活动。不过，报告并未说明攻击尝试的次数或可能受影响的网站数量。这两个数字仍是围绕该漏洞的主要未解问题，因为它们能够反映该漏洞在实际中被利用的程度。
由于受影响范围包括 4.7 至 7.1.3 版本，该漏洞涉及范围极广的 WordPress 版本。完整更新期间安装程序的临时暴露是报告中描述的具体弱点。
原报道由 Hokanews 的科技与区块链作者 Victoria Hale 撰写。
