WordPress Core 竞争条件远程代码执行漏洞(CVE-2026-119977)

云南启安
云南启安

云南启安科技

2026年11月5日 17:01
云南

去阅读

点击↑蓝字关注我们

ENTERPRISE

PART

01

漏洞描述

WordPress 是一款开源的内容管理系统（CMS），基于 PHP 和 MySQL 构建，于 2003 年首次发布。它提供了丰富的主题和插件生态，用户无需编程基础即可快速搭建博客、企业官网、电商平台等各类网站。WordPress 具有高度的可扩展性和灵活性，支持多用户协作、SEO 优化、响应式设计等功能，全球超过 40% 的网站采用 WordPress 构建，是当今最流行的网站建设平台之一。

WordPress Core 竞争条件远程代码执行漏洞(CVE-2026-119977)，且已发现在野利用。该漏洞源于完整包核心升级过程中，升级程序将更新包解压至 wp-content/upgrade/ 下基于包名生成的可预测、Web 可访问临时目录（相关代码位于 class-wp-upgrader.php、class-core-upgrader.php、update-core.php 等）。临时目录包含安装程序 setup-config.php，且在升级窗口期间可被外部 HTTP 请求直接执行。攻击者利用该漏洞，在升级窗口内通过竞争条件注入恶意配置，最终实现任意代码执行，导致服务器完全沦陷。

PART

02

影响范围

• 4.7.0 <= WordPress <= 4.7.38
• 4.8.0 <= WordPress <= 4.8.33
• 4.9.0 <= WordPress <= 4.9.34
• 5.0.0 <= WordPress <= 5.0.30
• 5.1.0 <= WordPress <= 5.1.27
• 5.2.0 <= WordPress <= 5.2.29
• 5.3.0 <= WordPress <= 5.3.26
• 5.4.0 <= WordPress <= 5.4.24
• 5.5.0 <= WordPress <= 5.5.23
• 5.6.0 <= WordPress <= 5.6.22
• 5.7.0 <= WordPress <= 5.7.20
• 5.8.0 <= WordPress <= 5.8.18
• 5.9.0 <= WordPress <= 5.9.19
• 6.0.0 <= WordPress <= 6.0.17
• 6.1.0 <= WordPress <= 6.1.15
• 6.2.0 <= WordPress <= 6.2.14
• 6.3.0 <= WordPress <= 6.3.13
• 6.4.0 <= WordPress <= 6.4.13
• 6.5.0 <= WordPress <= 6.5.13
• 6.6.0 <= WordPress <= 6.6.10
• 6.7.0 <= WordPress <= 6.7.10
• 6.8.0 <= WordPress <= 6.8.11
• 6.9.0 <= WordPress <= 6.9.10
• 7.0.0 <= WordPress <= 7.0.7
• 7.1.0 <= WordPress <= 7.1.3

WordPress 2.7 至 4.6 的核心更新程序可能存在相同缺陷，但未提供对应的官方修复版本。

PART

03

修复建议

安全更新：

目前官方已发布修复补丁，建议用户请尽快更新至最新版本：

WordPress 4.7.\* >= 4.7.39

WordPress 4.8.\* >= 4.8.34

WordPress 4.9.\* >= 4.9.35

WordPress 5.0.\* >= 5.0.31

WordPress 5.1.\* >= 5.1.28

WordPress 5.2.\* >= 5.2.30

WordPress 5.3.\* >= 5.3.27

WordPress 5.4.\* >= 5.4.25

WordPress 5.5.\* >= 5.5.24

WordPress 5.6.\* >= 5.6.23

WordPress 5.7.\* >= 5.7.21

WordPress 5.8.\* >= 5.8.19

WordPress 5.9.\* >= 5.9.20

WordPress 6.0.\* >= 6.0.18

WordPress 6.1.\* >= 6.1.16

WordPress 6.2.\* >= 6.2.15

WordPress 6.3.\* >= 6.3.14

WordPress 6.4.\* >= 6.4.14

WordPress 6.5.\* >= 6.5.14

WordPress 6.6.\* >= 6.6.11

WordPress 6.7.\* >= 6.7.11

WordPress 6.8.\* >= 6.8.12

WordPress 6.9.\* >= 6.9.11

WordPress 7.0.\* >= 7.0.8

WordPress 7.1.\* >= 7.1.4

临时缓解措施：

从未修复版本首次升级至安全版本时，若旧版更新程序使用包含相关安装文件的更新包，仍可能在可预测的临时目录中暴露攻击窗口。建议升级前限制外部对 wp-content/upgrade/ 目录的访问，禁止执行其中的 PHP 文件。

PART

04

参考链接

• https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-core-470-713-unauthenticated-upgrade-window-staged-installer-remote-code-execution
• https://xint.io/blog/wordpress-core-update-attack
• https://nvd.nist.gov/vuln/detail/cve-2026-119977