WordPress的一項安全漏洞在網站更新過程中遭到駭客積極攻擊。資安公司Wordfence截至11月6日已封鎖超過24萬次利用嘗試,美國監管機構也為聯邦機構設定了修補期限。該漏洞編號為CVE-2026-119977,並不依賴弱密碼或過時外掛,而是存在於WordPress處理某些完整軟體升級的方式中。

在這些升級過程中,WordPress會將安裝檔案短暫解壓到公開可存取的資料夾。該窗口僅持續數秒,但這個短暫時刻正是駭客企圖捕捉的目標。

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

攻擊運作方式

在恰當時機接觸到這些檔案的攻擊者,可能得以執行惡意PHP程式碼。他們無需先登入網站,弱密碼或過時外掛在此次攻擊中也毫無作用。攻擊一旦成功,攻擊者可植入後門、篡改網站內容、建立未經授權的管理員帳號,或竊取敏感資訊。無需任何憑證的漏洞被視為最嚴重的網頁漏洞類別之一,因為常見的登入防禦措施——強密碼、雙因素驗證、外掛管理——在此完全無法發揮作用。

該漏洞的CVSS嚴重程度評分為10分制的8.1分,屬於標準漏洞評分中的高風險類別。根據Wordfence的說法,該漏洞影響WordPress 4.7至7.1.3版本,涵蓋近十年的發行版本。由於據W3Techs統計,WordPress支撐全球約39.5%的網站,潛在受影響網站的數量相當龐大——軟體核心中的一個漏洞,就可能使部落格、媒體和企業在完成修補前同處於同一風險池中。

Wordfence表示,攻擊者於10月28日開始鎖定該漏洞,這正是WordPress發布安全更新的同一天。在軟體產業中,公開修復方案的發布被視為攻擊者的潛在起跑訊號,因為修補程式可能暴露其所修復的弱點——這也是資安團隊敦促管理員立即更新而非按例行時程更新的原因之一。早期監測在大約21小時內發現超過18,500個可疑請求,隨後數量穩定增長。截至11月6日,Wordfence防火牆已封鎖超過24萬次利用嘗試。單日最高紀錄為10月30日,當天封鎖了超過74,000個惡意請求。

研究人員還觀察到,攻擊者在長時間內反覆探測網站,顯然是在等待存在漏洞的網站進入安裝檔案對外公開的短暫更新窗口。被封鎖的請求並不等於已確認的入侵事件。利用該漏洞需要精準的時機掌握,這使得接管網站比單純發送請求困難得多。即便如此,流量規模仍顯示出攻擊者的強烈興趣。

修復方案、期限與網站擁有者建議

WordPress於10月28日發布7.1.4版本。該版本修復了此漏洞以及其他數項安全問題,受支援的舊版本分支也已提供修補程式,因此使用舊版的管理員同樣可以套用修復。

11月3日,美國網路安全與基礎設施安全局(CISA)將該漏洞列入其已知遭利用漏洞目錄——該目錄僅收錄已確認遭積極利用的漏洞——並要求聯邦民用機構在11月6日前完成修復。目錄的列入屬於強制性而非建議性:根據CISA的第22-01號約束性作業指令,聯邦民用機構必須在每個漏洞指派的期限前完成修補。CISA已確認該漏洞正在實際環境中被利用。

研究人員也指出了一個針對仍存在漏洞網站的陷阱。由於升級的第一步是由舊版、未修補的軟體處理,網站在安裝修復更新本身的過程中仍可能處於暴露狀態。Wordfence建議在開始更新之前,先封鎖對/wp-content/upgrade/目錄中PHP檔案的網頁存取。

該公司已為其Premium、Care與Response客戶新增防火牆防護,免費版外掛使用者預計將於11月27日獲得相同防護。管理員應確認更新已完成、檢查伺服器日誌,並審查管理員帳號是否有未經授權的變更。

根據報導,基於WordPress運作的加密貨幣企業面臨額外風險。交易所、區塊鏈專案與加密貨幣新聞網站可能遭遇網站篡改或頁面被植入釣魚連結。該漏洞不會直接影響區塊鏈網路或錢包,但遭入侵的網站仍可能誘騙訪客連接錢包或批准虛假交易——這提醒加密貨幣企業,鏈前的網站本身也是其營運安全的一部分。

截至11月6日,Wordfence已封鎖超過24萬次針對該漏洞的利用嘗試,管理員被敦促安裝WordPress 7.1.4、套用建議的目錄防護措施,並在事後驗證網站狀態。日曆上如今的幾個日期——11月6日的聯邦機構修補期限與11月27日免費版外掛防火牆防護的推出——是後續應對過程中值得關注的可見檢查點,同時也可持續追蹤Wordfence不斷更新的封鎖次數統計。