【漏洞通告】WordPress Core远程代码执行漏洞（CVE-2026-119977)

启明星辰安全简讯

2026年11月5日 17:05
北京

去阅读

一、漏洞概述

WordPress Core是开源内容管理系统WordPress的核心程序，主要用于网站搭建、内容发布和管理，提供文章管理、用户管理、主题及插件扩展等功能，广泛应用于企业网站、博客、门户网站及内容发布平台。

2026年11月5日，启明星辰安全应急响应中心（VSRC）监测到WordPress Core远程代码执行漏洞。该漏洞源于WordPress在执行核心程序升级时，使用可预测且可通过Web访问的临时目录存放升级文件，同时未对临时目录中的文件进行有效隔离和校验，导致攻击者可利用升级过程中的竞争条件，在临时目录中创建恶意配置文件，并使其被复制到网站正式目录。未经身份认证的远程攻击者可通过向临时升级目录中的安装配置文件发送特制请求，在目标执行升级期间触发漏洞，最终获取Web服务器权限并执行任意代码，可能导致网站配置遭到篡改、服务器被进一步控制以及业务数据泄露等安全风险。

二、影响范围

WordPress Core：

2.7.0 ≤ WordPress Core ≤ 4.6.x

4.7.0 ≤ WordPress Core ≤ 4.7.38

4.8.0 ≤ WordPress Core ≤ 4.8.33

4.9.0 ≤ WordPress Core ≤ 4.9.34

5.0.0 ≤ WordPress Core ≤ 5.0.30

5.1.0 ≤ WordPress Core ≤ 5.1.27

5.2.0 ≤ WordPress Core ≤ 5.2.29

5.3.0 ≤ WordPress Core ≤ 5.3.26

5.4.0 ≤ WordPress Core ≤ 5.4.24

5.5.0 ≤ WordPress Core ≤ 5.5.23

5.6.0 ≤ WordPress Core ≤ 5.6.22

5.7.0 ≤ WordPress Core ≤ 5.7.20

5.8.0 ≤ WordPress Core ≤ 5.8.18

5.9.0 ≤ WordPress Core ≤ 5.9.19

6.0.0 ≤ WordPress Core ≤ 6.0.17

6.1.0 ≤ WordPress Core ≤ 6.1.15

6.2.0 ≤ WordPress Core ≤ 6.2.14

6.3.0 ≤ WordPress Core ≤ 6.3.13

6.4.0 ≤ WordPress Core ≤ 6.4.13

6.5.0 ≤ WordPress Core ≤ 6.5.13

6.6.0 ≤ WordPress Core ≤ 6.6.10

6.7.0 ≤ WordPress Core ≤ 6.7.10

6.8.0 ≤ WordPress Core ≤ 6.8.11

6.9.0 ≤ WordPress Core ≤ 6.9.10

7.0.0 ≤ WordPress Core ≤ 7.0.7

7.1.0 ≤ WordPress Core ≤ 7.1.3。

三、安全措施

3.1 升级版本

WordPress Core：

WordPress Core >= 4.7.39

WordPress Core >= 4.8.34

WordPress Core >= 4.9.35

WordPress Core >= 5.0.31

WordPress Core >= 5.1.28

WordPress Core >= 5.2.30

WordPress Core >= 5.3.27

WordPress Core >= 5.4.25

WordPress Core >= 5.5.24

WordPress Core >= 5.6.23

WordPress Core >= 5.7.21

WordPress Core >= 5.8.19

WordPress Core >= 5.9.20

WordPress Core >= 6.0.18

WordPress Core >= 6.1.16

WordPress Core >= 6.2.15

WordPress Core >= 6.3.14

WordPress Core >= 6.4.14

WordPress Core >= 6.5.14

WordPress Core >= 6.6.11

WordPress Core >= 6.7.11

WordPress Core >= 6.8.12

WordPress Core >= 6.9.11

WordPress Core >= 7.0.8

WordPress Core >= 7.1.4

WordPress 2.7至4.6版本暂无官方修复版本，建议尽快制定迁移计划，升级至受支持且包含漏洞修复的版本。

下载链接：

https://wordpress.org/news/2026/10/wordpress-7-1-4/

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-core/wordpress-core-470-713-unauthenticated-upgrade-window-staged-installer-remote-code-execution/

https://xint.io/blog/wordpress-core-update-attack