1背景介绍

近日，天融信阿尔法实验室监测到WordPress核心存在一个无需身份认证的远程代码执行漏洞CVE-2026-119977。WordPress官方已于2026年10月28日发布7.1.4安全版本修复该漏洞。该漏洞无需身份认证即可触发远程代码执行，且已有在野利用证据，风险较高。请所有WordPress用户立即开展排查和处置。

2漏洞描述

WordPress是全球使用最广泛的开源内容管理系统，基于PHP和MySQL构建，用于搭建网站、博客、门户及电商站点（WooCommerce），并通过插件和主题扩展功能。其核心自带的升级程序负责下载并安装WordPress核心更新，本次漏洞就出在该升级过程之中。

CVE-2026-119977是WordPress核心中的一个远程代码执行漏洞，无需身份认证、无需用户交互。根因是完整包核心升级期间，升级程序将新版本文件解压到wp-content/upgrade/下的一个可预测目录中，该目录可通过Web访问，内含完整的WordPress安装副本及安装程序wp-admin/setup-config.php。攻击者在升级窗口内访问该暂存安装程序，即可完成分阶段安装、接管站点并执行服务器端代码；另有分析指出，攻击者植入的wp-config.php也可能随升级过程被提升覆盖原配置文件。复现结果如下图：

3漏洞编号

CVE-2026-119977

4漏洞等级

高危

5受影响版本

2.7.0 ≤ 版本 ≤ 4.6.x（含 3.1）

4.7.0 ≤ 版本 ≤ 4.7.38

4.8.0 ≤ 版本 ≤ 4.8.33

4.9.0 ≤ 版本 ≤ 4.9.34

5.0.0 ≤ 版本 ≤ 5.0.30

5.1.0 ≤ 版本 ≤ 5.1.27

5.2.0 ≤ 版本 ≤ 5.2.29

5.3.0 ≤ 版本 ≤ 5.3.26

5.4.0 ≤ 版本 ≤ 5.4.24

5.5.0 ≤ 版本 ≤ 5.5.23

5.6.0 ≤ 版本 ≤ 5.6.22

5.7.0 ≤ 版本 ≤ 5.7.20

5.8.0 ≤ 版本 ≤ 5.8.18

5.9.0 ≤ 版本 ≤ 5.9.19

6.0.0 ≤ 版本 ≤ 6.0.17

6.1.0 ≤ 版本 ≤ 6.1.15

6.2.0 ≤ 版本 ≤ 6.2.14

6.3.0 ≤ 版本 ≤ 6.3.13

6.4.0 ≤ 版本 ≤ 6.4.13

6.5.0 ≤ 版本 ≤ 6.5.13

6.6.0 ≤ 版本 ≤ 6.6.10

6.7.0 ≤ 版本 ≤ 6.7.10

6.8.0 ≤ 版本 ≤ 6.8.11

6.9.0 ≤ 版本 ≤ 6.9.10

7.0.0 ≤ 版本 ≤ 7.0.7

7.1.0 ≤ 版本 ≤ 7.1.3

6修复建议

6.1 更新升级

WordPress官方安全更新7.1.4已于2026年10月28日正式发布，建议用户尽快升级。

安全版本如下：≥4.7.39 / ≥4.8.34 / ≥4.9.35 / ≥5.0.31 / ≥5.1.28 / ≥5.2.30 / ≥5.3.27 / ≥5.4.25 / ≥5.5.24 / ≥5.6.23 / ≥5.7.21 / ≥5.8.19 / ≥5.9.20 / ≥6.0.18 / ≥6.1.16 / ≥6.2.15 / ≥6.3.14 / ≥6.4.14 / ≥6.5.14 / ≥6.6.11 / ≥6.7.11 / ≥6.8.12 / ≥6.9.11 / ≥7.0.8 / ≥7.1.4；建议统一升级至 ≥7.1.4。

6.2 临时修复