CVE-2026-119977：WordPress核心RCE漏洞在软件升级期间被利用

WordPress 核心中的一个高严重性漏洞正在被主动攻击，美国网络安全和基础设施安全局 (CISA) 已将该漏洞添加到其已知被利用漏洞 (KEV) 目录中。该漏洞被追踪为 CVE-2026-119977，具有 8.1 的CVSS 得分，未经身份验证的攻击者可以在 WordPress 核心升级时在易受攻击的服务器上执行任意代码。

该漏洞源于 WordPress 升级过程中的检验时间和使用时间（TOCTOU）竞态条件。在全包核心更新期间，WordPress 会暂时在可预测的、可通过网络访问的位置阶段安装文件。攻击者可以反复探测这些位置，并试图在升级期间的短暂期间内访问安装程序组件。

WordPress 在 2026 年 10 月 28 日发布的 7.1.4 版本中解决了该问题。漏洞影响了从 WordPress 版本 4.7 到 7.1.3 的版本，同时安全修补程序也被回移植到符合条件的较旧分支。WordPress 强调只有最新版本的发布是主动支持的。

风险已超出理论上的利用。The Hacker News 援引 Wordfence 的遥测报告，披露后前 21 小时内记录了超过 18,500 次请求，目标是分阶段设置 setup-config.php 安装程序路径。随后 CISA 确认了漏洞利用的证据，并要求相关的美国联邦平民机构在 2026 年 11 月 6 日之前修复该漏洞。

安全团队可以使用 SOC Prime 平台来加强对新出现的漏洞利用技术的检测覆盖，并寻找与易受攻击的面向互联网系统相关的可疑活动。通过监测 WordPress 升级位置的异常请求、意外的 PHP 执行、新创建的管理员帐户、可疑文件和后期利用行为来检测 CVE-2026-119977 漏洞利用。

并不是所有 CVE 都能提供检测内容。在 SOC Prime 平台查看当前的覆盖范围。如果相关的检测尚不可用，请再次查看，因为新的威胁情报和检测内容正在持续添加。

联系销售

CVE-2026-119977 分析

CVE-2026-119977 被归类为 CWE-367 下的 TOCTOU 竞态条件，具有 8.1 的 CVSS 3.1 分数。其攻击向量反映了基于网络的利用，不需要特权或用户交互，对机密性、完整性和可用性具有很高的潜在影响。攻击复杂性被评为高，因为成功利用取决于在狭窄的升级窗口期内访问到易受攻击的资源。

CVE-2026-119977 影响从版本 4.7 到 7.1.3 的 WordPress 核心版本。该漏洞的弱点不与第三方插件或主题相关联；而是存在于核心软件的升级机制中。

问题出现在全包核心升级期间。WordPress 会暂时将新包解压缩到 wp-content/upgrade 目录下的一个临时位置，然后替换现有的安装。在受影响的版本中，这个临时位置的部分内容可以被预测，并在更新进行时可以从网络上到达。

一个特别重要的组件是分阶段的 setup-config.php 安装程序。未经身份验证的攻击者如果准确预测临时路径并在 WordPress 完成清理之前到达该组件，可能会与分阶段的安装进行交互，并最终在服务器上执行 PHP 代码。

这创建了一种不同寻常的利用模型。一个漏洞的 WordPress 网站不一定是持续可被利用的。相反，攻击者必须在全包升级暴露分阶段文件的短暂期间逮住网站。研究人员指出，这种机会可能仅持续几秒钟。

攻击者可以通过自动化来弥补这一限制。威胁行为者可以不止发出单个请求，而是持续轮询可能的升级路径，并等待目标开始更新。Wordfence 观察到攻击者反复请求分阶段安装程序位置的变体，表明现实世界的攻击者迅速理解了如何瞄准这一竞态条件。

不过，观察到的大量请求应该被小心解释。报告的数据代表阻止的请求或利用尝试，并不意味着每个请求都成功实现了远程代码执行。漏洞利用仍然需要请求与活跃的全包升级以及其他必要的服务器条件相一致。

Wordfence 的初始遥测显示，在最初 21 小时内，针对分阶段安装程序路径进行了超过 18,500 次请求。随后，GBHackers 报告称在 24 小时内阻止了近 59,000 次尝试，而 The Hacker News 援引了额外的遥测数据，显示持续的漏洞利用活动。

The Hacker News 援引的独立蜜罐遥测记录显示 10 月 30 日的漏洞利用尝试，进一步支持了 CISA 将漏洞分类为正在主动利用的决定。CISA 将该漏洞添加到 KEV 大大提升了组织对公共 WordPress 基础设施的紧迫性。

在撰写本文时，审查的来源并未记录一个广泛可用、公开验证的 CVE-2026-119977 PoC 存储库。然而，公共漏洞利用代码并不是确定风险的必要条件，因为已经观察到了大规模的漏洞利用尝试，并且 CISA 确认了活跃的漏洞利用。

WordPress 7.1.4 更改了易受攻击的升级过程。根据可用的技术报告，修复包括使分阶段位置不那么可预测，引入额外的保护措施以防止直接访问，并防止分阶段配置数据以不安全的方式提升。

WordPress 感谢安全研究员 Umut Bayram 报告了升级过程中的弱点。版本 7.1.4 于 2026 年 10 月 28 日发布，随后于 10 月 31 日发布了 CVE 记录。

对于 CVE-2026-119977 的检测，防御者应特别注意指向 wp-content/upgrade 下非正常路径的网络请求，特别是涉及分阶段副本 setup-config.php 的请求。在多个可能的阶段目录上重复请求可能表明自动探测试图赢得竞态条件。

成功利用可能在受影响的网络服务器上下文中提供远程 PHP 代码执行。因此，防御者应将可疑的升级路径请求与后续证据进行关联，如意外的 PHP 文件、WordPress 配置数据的修改、不熟悉的管理员帐户、恶意插件、由网络服务器产生的异常子进程或意料之外的外向连接。

公共报告尚未确定一组针对攻击者特定的 CVE-2026-119977 IOC，如稳定的命令和控制域或恶意软件哈希。这使得基于行为的检测尤为重要。可预测的分阶段路径请求、更新窗口期间的可疑活动和后期利用修改提供了比单靠静态指示器更持久的猎捕机会。

CVE-2026-119977 缓解措施

CVE-2026-119977 的主要缓解措施是立即更新 WordPress。WordPress 7.1.4 含有安全补丁，修补程序还可供使用或回移植到合适的旧版本分支。组织应优先迁移到最新的活跃支持版本 WordPress，而不是无限期依赖于旧版安全回移植。

管理员应采取以下行动：

1. 将面向互联网的 WordPress 安装升级到 7.1.4 或更高版本。
2. 确认自动更新已成功完成，而不是假设更新已应用。
3. 清点较旧的 WordPress 安装，包括被遗忘的开发、阶段和旧版网站。
4. 检查网络服务器和 WAF 日志中针对 wp-content/upgrade 和分阶段 setup-config.php 路径的请求。
5. 调查意料之外的 PHP 文件、新创建的 WordPress 管理员帐户、未经授权的插件，以及难以解释的配置更改。
6. 检查出站连接和网络服务器子进程，以获取后期利用活动的证据。
7. 确保 WAF 保护在请求路径中操作得足够早，以覆盖对临时 PHP 文件的直接请求。
8. 在操作上可行的情况下，考虑限制直接网络访问至临时升级目录。

Web 应用防火墙规则可以减少暴露于自动利用尝试，但不应被视为补丁的替代品。由于易受攻击的资源可能暂时存在于正常 WordPress 请求流之外，管理员应验证其 WAF 部署是否实际检查了对暂存 PHP 文件的直接请求。

在漏洞利用仍在进行时进行升级的组织还应考虑回顾性调查。完成更新会移除漏洞行为，但不能证明服务器在漏洞临时目录可用时未被入侵。

检查涉及精确升级时间戳的访问日志。在升级之前或期间立即对受影响的阶段路径的请求应接受额外的审查。安全团队随后应将这些请求与文件系统更改、WordPress 帐户修改、PHP 执行、可疑的网络连接及其他后期利用指标进行关联。

如果怀疑被入侵，尽可能隔离受影响的主机，保留相关的网络、应用程序、身份验证和系统日志，并在修复之前收集可疑文件。可访问给 WordPress/PHP 进程的凭证和机密应被视为可能暴露，并根据调查的发现进行更换。

CISA 将该漏洞包括在 KEV 中确认修复应被视为一项紧迫的运营优先事项，而不是一种常规补丁周期事项。联邦平民执行分支机构被指示在 2026 年 11 月 6 日之前解决该问题。