漏洞分享 - WordPress 核心存在遠端程式碼執行漏洞
WordPress 核心存在遠端程式碼執行漏洞
一、摘要
WordPress 核心存在一項高風險安全漏洞（CVE-2026-119977），屬於時間檢查與時間使用競態條件（Time-of-check Time-of-use）漏洞。攻擊者可於 WordPress 核心更新過程中，利用更新檔案解壓縮期間的競態條件，在無須登入或取得使用者權限的情況下，於遠端伺服器執行任意程式碼，造成網站遭未授權控制之風險。
美國網路安全暨基礎設施安全局（CISA）已於 2026 年 11 月 3 日將此漏洞（CVE-2026-119977）新增至已知遭利用漏洞（Known Exploited Vulnerabilities，KEV）目錄，顯示該漏洞已有遭攻擊者利用的情資。
二、存在風險
WordPress 核心存在一項遠端程式碼執行漏洞（CVE-2026-119977），其成因與核心更新程序中的檔案解壓縮及暫存目錄管理機制有關。
當 WordPress 執行完整套件更新時，系統會將更新檔案解壓縮至可透過網頁存取的目錄。由於更新過程中的暫存檔案路徑具有可預測性，攻擊者可能利用檔案解壓縮期間的時間差，在未經身分驗證的情況下存取尚未完成更新的檔案，進而執行任意程式碼。
若漏洞遭成功利用，可能導致攻擊者取得網站伺服器控制權、竄改網站內容、植入惡意程式，甚至進一步危害網站主機及內部網路環境。
漏洞資訊：
- 漏洞編號：CVE-2026-119977。
- 漏洞類型：時間檢查與時間使用競態條件（TOCTOU）。
- CVSS 3.1：8.1（High）。
- 受影響產品：WordPress Core。
- 攻擊條件：無須身分驗證，攻擊者可透過網路發動攻擊。
- 安全影響：遠端程式碼執行（Remote Code Execution，RCE）。
- WordPress 4.7 至 7.1.3 之受影響版本。
- WordPress 7.1.0～7.1.3。
- WordPress 7.0.0～7.0.7。
- WordPress 6.9.0～6.9.10。
- WordPress 6.8.0～6.8.11。
- WordPress 6.7 及更早版本之受影響分支，亦須確認是否已安裝對應安全更新。
- WordPress 4.7 至 6.6 各版本分支，請依官方安全更新公告確認修補狀態。
三、建議改善措施
企業及使用者如有上述受影響設備，應儘速盤點 WordPress 網站版本，並更新至官方提供之安全修補版本，以降低遭受漏洞攻擊之風險：
WordPress Core：
- 7.1.x：請更新至 7.1.4 或之後版本。
- 7.0.x：請更新至 7.0.8 或之後版本。
- 6.9.x：請更新至 6.9.11 或之後版本。
- 6.8.x：請更新至 6.8.12 或之後版本。
- 6.7.x 及更早版本：請依各版本分支安裝官方提供之對應安全修補版本。
- WordPress 4.6 及更早版本：已無安全更新支援，建議升級至仍受支援之版本。
情資報告連結：
