WordPress的一个安全漏洞正在更新过程中遭到攻击者的积极利用。网络安全公司Wordfence截至11月6日已拦截超过24万次利用尝试，美国监管机构也为联邦机构设定了修复期限。该漏洞被追踪为CVE-2026-119977，并不依赖弱密码或过期插件，而是存在于WordPress处理某些完整软件升级的方式中。

在这些升级过程中，WordPress会短暂地将安装文件解压到一个公众可访问的文件夹中。这一窗口期仅持续数秒，但这短暂的时刻正是攻击者试图捕捉的目标。

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

攻击如何运作

在恰当的时机接触到这些文件的攻击者可能能够运行恶意PHP代码。他们无需先登录网站，弱密码或过期插件在此次利用中也毫无作用。攻击成功后，攻击者可以植入后门、篡改网站内容、创建未经授权的管理员账户或窃取敏感信息。无需凭证即可利用的漏洞被列为最严重的Web漏洞类别之一，因为常规的登录防御手段——强密码、双因素认证、插件管理——根本无从发挥作用。

该漏洞的CVSS严重性评分为8.1分（满分10分），属于标准0到10漏洞评级中的高风险类别。据Wordfence介绍，该漏洞影响WordPress 4.7至7.1.3版本，涵盖了近十年的发布版本。根据W3Techs的数据，WordPress驱动着全球约39.5%的网站，因此潜在暴露网站的数量相当庞大——软件核心中的一个漏洞就可能使博客、媒体机构和企业在修补之前共同处于同一风险池中。

Wordfence表示，攻击者于10月28日开始利用该漏洞，这正是WordPress发布安全更新的同一天。在整个软件行业，公开修复程序的发布被视为攻击者可能发起行动的信号，因为补丁可能暴露其所修复的弱点——这也是安全团队敦促管理员立即更新而非按常规计划更新的原因之一。早期监测发现，在约21小时内出现了超过18,500个可疑请求，随后数量持续增长。到11月6日，Wordfence防火墙已拦截超过24万次利用尝试。攻击最集中的一天是10月30日，当天拦截了超过74,000个恶意请求。

研究人员还观察到攻击者在长时间内反复探测网站，显然是在等待存在漏洞的网站进入安装文件可被公开访问的短暂更新窗口。被拦截的请求并不等于已确认的入侵。利用该漏洞需要精确把握时机，这使得接管网站比单纯发送请求困难得多。尽管如此，如此庞大的流量仍显示出攻击者的强烈兴趣。

修复、期限与站长建议

WordPress于10月28日发布了7.1.4版本。该版本修复了此漏洞以及其他几个安全问题，旧的支持分支也提供了补丁，因此使用旧版本的管理员同样可以应用修复。

11月3日，美国网络安全和基础设施安全局（CISA）将该漏洞加入其已知被利用漏洞目录——该目录专门收录已确认被积极利用的漏洞——并要求联邦文职机构在11月6日前完成修复。目录条目具有强制性而非建议性：根据CISA的第22-01号约束性运行指令，联邦文职机构必须在为每个漏洞指定的截止日期前完成修复。CISA已确认该漏洞正在实际环境中被利用。

研究人员还指出了仍存在漏洞的网站面临的一个问题。由于旧版未修补的软件负责处理升级的第一步，网站即使在安装修复漏洞的更新时也可能处于暴露状态。Wordfence建议在开始更新之前，屏蔽对/wp-content/upgrade/目录中PHP文件的Web访问。

该公司已为其Premium、Care和Response客户添加了防火墙保护，免费插件用户预计将于11月27日获得同样的保护。管理员被告知要确认更新已完成、检查服务器日志，并审查管理员账户是否存在未经授权的更改。

据相关报道，基于WordPress运营的加密货币企业面临额外风险。交易所、区块链项目和加密货币新闻网站可能遭遇网站篡改或钓鱼链接注入。该漏洞不会直接影响区块链网络或钱包，但被入侵的网站仍可能诱骗访客连接钱包或批准虚假交易——这提醒加密货币企业，链前端的网站是其运营安全的一部分。

截至11月6日，Wordfence已拦截超过24万次利用该漏洞的尝试，管理员被敦促安装WordPress 7.1.4、应用推荐的目录保护措施，并在完成后验证其网站。日历上的两个日期——11月6日的联邦机构修复截止日期和11月27日免费插件用户的防火墙保护推出日期——是响应过程中值得关注的显性节点，同时还可关注Wordfence持续更新的拦截计数。