【漏洞通告】WordPress 更新条件竞争远程代码执行漏洞(CVE-2026-119977)
深瞳漏洞实验室 2026-11-05 17:53 北京
2026年11月4日，深瞳漏洞实验室监测到一则WordPress组件存在条件竞争漏洞的信息，漏洞编号：CVE-2026-119977，漏洞威胁等级：高危。
漏洞名称：
WordPress 更新条件竞争远程代码执行漏洞(CVE-2026-119977)
组件名称：
WordPress
影响范围：
4.7.0 <= WordPress <= 4.7.38
4.8.0 <= WordPress <= 4.8.33
4.9.0 <= WordPress <= 4.9.34
5.0.0 <= WordPress <= 5.0.30
5.1.0 <= WordPress <= 5.1.27
5.2.0 <= WordPress <= 5.2.29
5.3.0 <= WordPress <= 5.3.26
5.4.0 <= WordPress <= 5.4.24
5.5.0 <= WordPress <= 5.5.23
5.6.0 <= WordPress <= 5.6.22
5.7.0 <= WordPress <= 5.7.20
5.8.0 <= WordPress <= 5.8.18
5.9.0 <= WordPress <= 5.9.19
6.0.0 <= WordPress <= 6.0.17
6.1.0 <= WordPress <= 6.1.15
6.2.0 <= WordPress <= 6.2.14
6.3.0 <= WordPress <= 6.3.13
6.4.0 <= WordPress <= 6.4.13
6.5.0 <= WordPress <= 6.5.13
6.6.0 <= WordPress <= 6.6.10
6.7.0 <= WordPress <= 6.7.10
6.8.0 <= WordPress <= 6.8.11
6.9.0 <= WordPress <= 6.9.10
7.0.0 <= WordPress <= 7.0.7
7.1.0 <= WordPress <= 7.1.3
WordPress 2.7–4.6 的核心更新功能可能同样受此问题影响，官方并未发布对应修复版本。
漏洞类型：
条件竞争
利用条件：
1、用户认证：否
2、前置条件：目标执行核心更新的升级窗口期内可触发远程代码执行
3、触发方式：远程
综合评价：
<综合评定利用难度>：容易，无需授权即可远程代码执行。
<综合评定威胁等级>：高危，能造成远程代码执行。
官方解决方案：
已发布
漏洞分析
组件介绍
WordPress 是目前全球使用最广泛的开源内容管理系统（CMS），基于 PHP 与 MySQL/MariaDB 开发，采用 GPL 协议发布，被广泛用于搭建个人博客、企业官网、新闻资讯及电商等各类站点，公开统计显示其驱动的网站约占全球网站总量的四成以上。WordPress 以主题（Theme）和插件（Plugin）体系作为核心扩展机制，拥有庞大的生态，同时内置 REST API、多站点（Multisite）、多语言、区块编辑器等能力，并支持核心、插件、主题的后台一键自动更新，兼顾易用性与可扩展性。
漏洞简介
2026年11月4日，深瞳漏洞实验室监测到一则WordPress组件存在条件竞争漏洞的信息，漏洞编号：CVE-2026-119977，漏洞威胁等级：高危。
该漏洞源于全量包核心升级过程中的暂存机制缺陷：新版本文件在正式安装前会被解压到一个路径可预测、且可通过 Web 直接访问的暂存位置。从解包到升级完成之间存在短暂的“升级窗口期”，在此期间暂存内容处于不受保护的状态，未认证攻击者只需在窗口期内持续访问该可预测路径、与升级过程竞争，即可抢先操纵升级流程并在服务器上执行任意代码。
漏洞验证
搭建受影响的WordPress环境复现该漏洞，效果如下：
影响范围
目前受影响的WordPress版本：
4.7.0 <= WordPress <= 4.7.38
4.8.0 <= WordPress <= 4.8.33
4.9.0 <= WordPress <= 4.9.34
5.0.0 <= WordPress <= 5.0.30
5.1.0 <= WordPress <= 5.1.27
5.2.0 <= WordPress <= 5.2.29
5.3.0 <= WordPress <= 5.3.26
5.4.0 <= WordPress <= 5.4.24
5.5.0 <= WordPress <= 5.5.23
5.6.0 <= WordPress <= 5.6.22
5.7.0 <= WordPress <= 5.7.20
5.8.0 <= WordPress <= 5.8.18
5.9.0 <= WordPress <= 5.9.19
6.0.0 <= WordPress <= 6.0.17
6.1.0 <= WordPress <= 6.1.15
6.2.0 <= WordPress <= 6.2.14
6.3.0 <= WordPress <= 6.3.13
6.4.0 <= WordPress <= 6.4.13
6.5.0 <= WordPress <= 6.5.13
6.6.0 <= WordPress <= 6.6.10
6.7.0 <= WordPress <= 6.7.10
6.8.0 <= WordPress <= 6.8.11
6.9.0 <= WordPress <= 6.9.10
7.0.0 <= WordPress <= 7.0.7
7.1.0 <= WordPress <= 7.1.3
WordPress 2.7–4.6 的核心更新功能可能同样受此问题影响，官方并未发布对应修复版本。
解决方案
官方修复建议
更新至各分支修复版本：
临时修复建议
关闭未使用的功能模块，减少潜在攻击入口。
遵循最小权限原则，严控各类敏感操作权限范围。
非必要不暴露服务到公网，限制访问源为可信范围。
定期更新系统及各类组件至安全版本，及时修补已知隐患。
深信服解决方案
1、风险资产发现
支持对WordPress的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：
【深信服统一端点安全管理系统aES】已发布资产检测方案，指纹ID:0000034。
【深信服云镜YJ】已发布资产检测方案，指纹ID:0000034。
【深信服漏洞评估工具TSS】已发布资产检测方案，指纹ID:0000034。
2、漏洞主动检测
支持对WordPress 更新条件竞争远程代码执行漏洞(CVE-2026-119977)的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：
【深信服云镜YJ】预计2026年11月13日发布检测方案，规则ID:SF-2026-14055。
【深信服可拓展检测响应平台XDR】预计2026年11月13日发布检测方案（需要具备云镜组件能力），规则ID:SF-2026-14055。
参考链接
时间轴
2026/11/04
深瞳漏洞实验室监测到WordPress 更新条件竞争远程代码执行漏洞信息。
2026/11/05
深瞳漏洞实验室发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
本文转载自微信公众号「深信服千里目安全实验室」，查看原文。版权归原作者所有，如有侵权请联系删除。