WordPress 重大漏洞使 4.7 至 7.1.3 版本暴露於網站接管攻擊風險
重點速覽
- •被追蹤為 CVE-2026-119977 的 WordPress 重大漏洞,可能讓攻擊者在無需登入的情況下取得網站控制權。
- •該漏洞影響 WordPress 4.7 至 7.1.3 版本,範圍涵蓋自 2016 年 12 月以來近 10 年的版本。
- •此弱點產生於完整更新期間,此時安裝程式會短暫暫存於可公開存取的資料夾,攻擊者或可在伺服器上執行自己的程式碼。
- •WordPress 驅動全球 39.5% 的網站,由於此漏洞涉及平台核心而非單一外掛或佈景主題,其潛在影響範圍相當廣泛。
- •Wordfence 在該漏洞防護上線後僅九分鐘即記錄到首次防火牆攔截,惟報告未說明攻擊嘗試次數或受影響網站數量。
根據 Hokanews 的報導,WordPress 的一個重大安全漏洞可能讓攻擊者在無需登入的情況下接管網站。該漏洞影響 4.7 至 7.1.3 版本,攻擊目標是平台更新過程中的短暫時間窗口——此時安裝程式會透過公開資料夾暫時可供存取。
根據 Coin Bureau 分享的資訊,WordPress 驅動全球 39.5% 的網站,意即約有十分之四的網站運行於同一套底層軟體之上。這樣的規模使該弱點的潛在影響範圍相當廣泛,因為此漏洞涉及平台自身的更新流程,而非單一外掛或佈景主題。相關疑慮集中在攻擊者可能於完整更新期間直接在網站伺服器上執行自己的程式碼——這種結果可能導致網站本身被未經授權的控制。
漏洞運作方式
在 WordPress 進行完整更新時,平台會將其安裝程式短暫暫存於可公開存取的資料夾中。根據 Coin Bureau 的說法,攻擊者若在這段短暫時間內抵達該位置,即可在伺服器上執行自己的程式碼。由於此暴露僅存在於更新進行期間,風險與這段暫時性的暫存階段相關,而非持續開啟的入侵入口。
該漏洞不需要攻擊者登入受影響的 WordPress 網站。相反地,這種攻擊利用的是更新過程中產生的暫時性暴露,可能使網站遭到未經授權的控制。
此漏洞影響 WordPress 從 4.7 到 7.1.3 的所有版本。根據 Coin Bureau 報告的資訊,該範圍涵蓋近 10 年的版本,最早可追溯至 2016 年 12 月。如此廣泛的跨度意味著各種不同年代安裝的網站都落在受影響範圍內,而不僅限於最新版本。
Wordfence 標記漏洞 CVE-2026-119977
資安公司 Wordfence 已標記此問題,目前追蹤編號為 CVE-2026-119977。CVE 編號系統是用於編錄公開揭露軟體漏洞的標準識別機制,為研究人員與網站管理者提供同一弱點的共同參考依據。該漏洞也引發了防火牆防護行動,Wordfence 在防護上線後僅九分鐘即記錄到首次攔截。
報告的時間點顯示,防火牆在防護啟用後不久即開始攔截與該漏洞相關的活動。然而,報告並未說明攻擊嘗試的次數,也未說明可能有多少網站受到影響。這兩項數據仍是此漏洞最主要的未解問題,因為它們能顯示此漏洞在實務上吸引了多少攻擊活動。
由於 4.7 至 7.1.3 版本均列入受影響範圍,此漏洞涉及涵蓋範圍相當廣泛的 WordPress 版本。完整更新期間安裝程式的暫時性暴露,正是報告中描述的具體弱點。
原始報告由 Hokanews 的科技與區塊鏈作者 Victoria Hale 撰寫。
