2026-11-06 02:44:19 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

【漏洞通告】WordPress 更新条件竞争远程代码执行漏洞(CVE-2026-119977)

深瞳漏洞实验室
深瞳漏洞实验室

深信服千里目安全技术中心

2026年11月5日 17:53
北京

去阅读

漏洞名称：

WordPress 更新条件竞争远程代码执行漏洞(CVE-2026-119977)

组件名称：

WordPress

影响范围：

4.7.0 <= WordPress <= 4.7.38
4.8.0 <= WordPress <= 4.8.33
4.9.0 <= WordPress <= 4.9.34
5.0.0 <= WordPress <= 5.0.30
5.1.0 <= WordPress <= 5.1.27
5.2.0 <= WordPress <= 5.2.29
5.3.0 <= WordPress <= 5.3.26
5.4.0 <= WordPress <= 5.4.24
5.5.0 <= WordPress <= 5.5.23
5.6.0 <= WordPress <= 5.6.22
5.7.0 <= WordPress <= 5.7.20
5.8.0 <= WordPress <= 5.8.18
5.9.0 <= WordPress <= 5.9.19
6.0.0 <= WordPress <= 6.0.17
6.1.0 <= WordPress <= 6.1.15
6.2.0 <= WordPress <= 6.2.14
6.3.0 <= WordPress <= 6.3.13
6.4.0 <= WordPress <= 6.4.13
6.5.0 <= WordPress <= 6.5.13
6.6.0 <= WordPress <= 6.6.10
6.7.0 <= WordPress <= 6.7.10
6.8.0 <= WordPress <= 6.8.11
6.9.0 <= WordPress <= 6.9.10
7.0.0 <= WordPress <= 7.0.7
7.1.0 <= WordPress <= 7.1.3

WordPress 2.7–4.6 的核心更新功能可能同样受此问题影响，官方并未发布对应修复版本。

漏洞类型：

条件竞争

利用条件：

1、用户认证：否

2、前置条件：目标执行核心更新的升级窗口期内可触发远程代码执行

3、触发方式：远程

综合评价：

<综合评定利用难度>：容易，无需授权即可远程代码执行。

<综合评定威胁等级>：高危，能造成远程代码执行。

官方解决方案：

已发布

漏洞分析

组件介绍

WordPress 是目前全球使用最广泛的开源内容管理系统（CMS），基于 PHP 与 MySQL/MariaDB 开发，采用 GPL 协议发布，被广泛用于搭建个人博客、企业官网、新闻资讯及电商等各类站点，公开统计显示其驱动的网站约占全球网站总量的四成以上。WordPress 以主题（Theme）和插件（Plugin）体系作为核心扩展机制，拥有庞大的生态，同时内置 REST API、多站点（Multisite）、多语言、区块编辑器等能力，并支持核心、插件、主题的后台一键自动更新，兼顾易用性与可扩展性。

漏洞简介

2026年11月4日，深瞳漏洞实验室监测到一则WordPress组件存在条件竞争漏洞的信息，漏洞编号：CVE-2026-119977，漏洞威胁等级：高危。

该漏洞源于全量包核心升级过程中的暂存机制缺陷：新版本文件在正式安装前会被解压到一个路径可预测、且可通过 Web 直接访问的暂存位置。从解包到升级完成之间存在短暂的“升级窗口期”，在此期间暂存内容处于不受保护的状态，未认证攻击者只需在窗口期内持续访问该可预测路径、与升级过程竞争，即可抢先操纵升级流程并在服务器上执行任意代码。