觀點 · 資訊分享

WordPress 升級空檔漏洞已遭利用：CISA 列入清單限 3 天修補，4.7 到 7.1.3 都受影響

WordPress 核心在升級過程中會把檔案放在猜得到、又能從網路存取的暫存位置，攻擊者不用登入就可能趁升級空檔執行程式。官方 10 月 28 日已在 7.1.4 修補，CISA 11 月 3 日確認已遭利用並列入清單。

一句話看懂：WordPress 升級時暫存檔放在猜得到的位置，沒登入的人也可能趁空檔執行程式；官方 10 月底已修，11 月 3 日確認已遭利用。

WordPress 升級空檔漏洞已遭利用資訊圖卡：升級時的暫存檔放在猜得到的位置，沒登入也可能趁機執行程式

先用白話講：「升級空檔」漏洞是什麼？

想像你在搬家，搬家公司把所有箱子先堆在門口走廊，等一下再搬進新家。如果大家都知道「這家搬家一定會把箱子放在門口」，路過的人就能趁你還沒搬完，把一個裝了奇怪東西的箱子混進去，跟著一起被搬進屋裡。

WordPress 升級核心時也有類似的流程：先把新版檔案解開放在暫存位置，再搬到正式位置。這次的問題是，暫存位置猜得到、又能從網路直接存取，攻擊者就可能在升級進行的那段空檔動手腳，讓伺服器執行他的程式。

10 月 28 日：WordPress 發布 7.1.4 安全更新，其中一項就是「升級流程的弱點可能在升級期間導致遠端執行程式」，並回補到仍接受安全更新的舊分支（最舊到 4.7），官方當時說明回補會陸續推出
10 月 31 日：NVD 公開 CVE-2026-119977，影響 4.7 到 7.1.3，CVSS 3.1 分數 8.1（高）
11 月 3 日：美國 CISA 確認這個漏洞已遭實際利用，列入 KEV（已知遭利用漏洞清單），要求聯邦機構在 11 月 6 日前處理（自行換算為 3 天），並標示需要做鑑識檢查

分數只有 8.1，是因為攻擊者得抓準升級的時間點，難度較高；但不需要任何帳號，而且已經有人成功利用，不能用分數來判斷輕重。

NVD 列出的受影響範圍是各分支到某個小版本為止（例如 7.0.7、6.9.10），升到比它新的版本才算修好。

幫中小企業做網站的人，手上多半會有幾個 WordPress 站，而且常常是「交件後就沒人管」的那種：自動更新可能被外掛關掉、主機權限不對導致更新失敗，站長本人也不會發現。這次的漏洞剛好跟「升級」本身有關，更值得把每個站的版本一個一個點開確認，而不是假設自動更新有在跑。

另外，CISA 特別要求做鑑識檢查，代表光升級還不夠，被利用過的站可能已經留下後門。如果你維護的站很久沒看了，這次就順便做一輪檔案比對和備份檢查。

我的網站有開自動更新，還需要做什麼？

官方說明，支援背景自動更新的網站會自動開始升級。還是建議到後台「更新」頁面確認版本已經是 7.1.4（或你所在分支的修補版），因為主機設定、外掛或權限問題都可能讓自動更新沒成功。

CVSS 只有 8.1，為什麼要這麼急？

8.1 分是因為攻擊要抓準升級的時間點，難度較高。但 CISA 已確認有人實際利用，而且攻擊者不用帳號就能下手，所以實際風險比分數看起來更高。

怎麼知道網站有沒有已經被入侵？

官方沒有公布入侵跡象的細節。保守的做法是：比對 WordPress 核心檔案是否被改過、檢查網站目錄有沒有多出不認識的 PHP 檔、看主機的存取記錄有沒有升級期間的異常請求。有疑慮就從乾淨備份重建並更換管理員密碼。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。