【漏洞预警】WordPress远程代码执行漏洞（CVE-2026-119977）

信通云服
信通云服

信通云服

2026年11月3日 17:05
海南

去阅读

【漏洞描述】

组件介绍

WordPress是全球主流开源建站CMS，多用于搭建企业官网、外贸站点、博客、资讯站点，国内不少中小企业和个人站长都在使用。

漏洞简介

该漏洞源于WordPress在线升级流程中存在的竞态条件缺陷。WordPress在进行完整包在线升级时，会把升级压缩包解压到wp-content/upgrade/下路径可预测的临时目录，目录内的setup-config.php脚本可被PHP解析执行。攻击者可抓住升级的短暂窗口期持续轮询请求该文件，抢在系统自动清理临时资源前进行利用，在无需认证的情况下即可实现远程代码执行，获取服务器权限。

【影响范围】

受影响版本：

4.7.0 ≤ WordPress ≤ 4.7.38

4.8.0 ≤ WordPress ≤ 4.8.33

4.9.0 ≤ WordPress ≤ 4.9.34

5.0.0 ≤ WordPress ≤ 5.0.30

5.1.0 ≤ WordPress ≤ 5.1.27

5.2.0 ≤ WordPress ≤ 5.2.29

5.3.0 ≤ WordPress ≤ 5.3.26

5.4.0 ≤ WordPress ≤ 5.4.24

5.5.0 ≤ WordPress ≤ 5.5.23

5.6.0 ≤ WordPress ≤ 5.6.22

5.7.0 ≤ WordPress ≤ 5.7.20

5.8.0 ≤ WordPress ≤ 5.8.18

5.9.0 ≤ WordPress ≤ 5.9.19

6.0.0 ≤ WordPress ≤ 6.0.17

6.1.0 ≤ WordPress ≤ 6.1.15

6.2.0 ≤ WordPress ≤ 6.2.14

6.3.0 ≤ WordPress ≤ 6.3.13

6.4.0 ≤ WordPress ≤ 6.4.13

6.5.0 ≤ WordPress ≤ 6.5.13

6.6.0 ≤ WordPress ≤ 6.6.10

6.7.0 ≤ WordPress ≤ 6.7.10

6.8.0 ≤ WordPress ≤ 6.8.11

6.9.0 ≤ WordPress ≤ 6.9.10

7.0.0 ≤ WordPress ≤ 7.0.7

7.1.0 ≤ WordPress ≤ 7.1.3

【修复建议】

WordPress官方已推送各分支修复版本，请访问链接下载更新：

https://wordpress.org/download/releases/

【参考链接】

https://nvd.nist.gov/vuln/detail/cve-2026-119977