WordPress 核心 CVE-2026-119977 已遭利用，CISA 列入 KEV，請更新至 7.1.4
原始來源： The Hacker News · 2026/11/04
CISA 於 2026/11/03 將 WordPress 核心漏洞 CVE-2026-119977 列入已知遭利用漏洞（KEV）目錄。此漏洞屬檢查與使用時間差（TOCTOU）競態條件，CVSS 8.1；完整核心升級期間使用可預測且可由網路存取的暫存路徑，未經驗證的攻擊者可能在升級空窗執行程式碼。WordPress 已於 10/28 釋出 7.1.4 修補；Wordfence 在公開後 21 小時內記錄逾 18,500 次針對暫存 setup-config.php 的請求。美國聯邦機關修補期限為 11/06。
重點先看
WordPress CVE-2026-119977 已遭利用並列入 CISA KEV，未驗證攻擊者可在核心升級空窗執行程式碼。請立即更新至 7.1.4 並檢查是否有 webshell。
發生了什麼
美國網路安全暨基礎設施安全局（CISA）於 2026/11/03 將 WordPress 核心漏洞 CVE-2026-119977 列入 KEV 目錄，確認已有實際利用。CISA 說明，此漏洞為檢查與使用時間差（TOCTOU）競態條件（CWE-367），原因是完整套件核心升級時使用可預測、可由網路存取的暫存路徑，未經驗證的攻擊者可能在升級空窗於伺服器上執行程式碼。CVSS 為 8.1，攻擊複雜度高，但不需要網站帳號。 WordPress 安全團隊已於 10/28 釋出 7.1.4 修補，並建議立即更新。美國聯邦民事行政機關須在 11/06 前完成修補。
攻擊規模與觀測
依 The Hacker News 引述 Wordfence 資料，漏洞公開後 21 小時內，已記錄逾 18,500 次針對暫存 setup-config.php 安裝程式路徑的請求；撰文時過去 24 小時內攔截 12,632 次利用嘗試。BleepingComputer 則引述 Wordfence 週末更新，24 小時內攔截 13,095 次攻擊。另有誘捕系統於 10/30 觀測到來自英國 IP 的利用嘗試。 CISA 未公開攻擊者細節，但在 KEV 中要求此漏洞須進行鑑識分流。WordPress 今年 7 月另曾修補 wp2shell 漏洞鏈，公開利用程式釋出後數日即有未修補網站遭植入 webshell，顯示 WordPress 核心漏洞從公開到大規模利用的時間很短。
建議立即處置
營運 WordPress 網站的單位請依序處理： 1. 立即確認核心版本已更新至 7.1.4 或更新版本，並確認自動更新確實生效。 2. 檢查網站存取紀錄中是否有對暫存 setup-config.php 等安裝程式路徑的請求，特別是 10/28 之後的升級時段。 3. 搜尋近期新增或異動的 PHP 檔、外掛與管理員帳號，確認沒有 webshell 或後門。 4. 若發現可疑跡象，輪換 wp-config.php 中的資料庫憑證、金鑰與管理員密碼。 5. 後續核心升級時，盡量在維護時段進行並限制對外存取，縮短可被利用的空窗。
為什麼重要
WordPress 是許多企業官網、活動頁與電商的基礎，更新本身反而成了攻擊空窗，代表「有在更新」不等於安全。這類零時差與升級時序問題，簽章式 WAF 規則往往來不及涵蓋；遭入侵的網站可能被植入 webshell、竄改內容或成為釣魚跳板。 建議以 CloudCoffer UTDS 的未知威脅偵測補足 WAF 盲點，並由 DevaEye MDR 託管防護監看網站主機的異常程式執行。
Cloudforce 可以協助哪些？
針對 WordPress 核心漏洞與網站遭入侵風險，可依下列方案對應： 1. CloudCoffer UTDS：以未知威脅偵測（MatrixShield）分析網站流量與行為，偵測零時差利用與 WAF 簽章尚未涵蓋的攻擊，例如對升級暫存路徑的異常請求。 2. DevaEye MDR 託管防護：7×24 監看網站主機上的異常 PHP 執行、新增檔案與可疑外連，發現 webshell 跡象即協助研判與應變。 3. DevaEye 軟體安全檢測：盤點對外 WordPress 網站版本、外掛與暴露面，交付修補優先順序建議。
常見問題
CVE-2026-119977 影響哪些版本？要更新到哪一版？
WordPress 於 10/28 釋出 7.1.4 修補此漏洞，Wordfence 的公告標示影響 4.7.0 至 7.1.3。請更新至 7.1.4 或更新版本。
沒有帳號也能利用嗎？
可以。此漏洞不需要網站帳號，但攻擊者必須在完整核心升級的短暫空窗內，利用可預測的暫存路徑，因此攻擊複雜度較高，CVSS 為 8.1。
CISA KEV 的期限對臺灣企業有意義嗎？
11/06 期限只約束美國聯邦機關，但列入 KEV 代表已確認遭實際利用，CISA 也呼籲所有組織優先修補，臺灣企業應比照處理。
已經更新了，還需要做什麼？
若網站在 10/28 之後進行過核心升級，建議檢查存取紀錄是否有對暫存 setup-config.php 的請求，並搜尋新增的 PHP 檔與管理員帳號，確認沒有遭植入後門。
CloudCoffer UTDS 能如何協助？
CloudCoffer UTDS 的未知威脅偵測可補足 WAF 簽章尚未涵蓋的零時差攻擊，偵測對升級暫存路徑等異常請求，協助在修補空窗期降低風險。