安全漏洞·严重

WordPress 网站：更新期间的漏洞可让攻击者执行代码

已有修复攻击者已在利用影响网站站长

WordPress Core

对你有什么影响

对你没有明显影响；网站所有者必须更新。

WordPress 自我更新方式中的一个漏洞，可让没有账号的攻击者在更新期间接管网站。已发布修复，CISA 称攻击者已在利用该漏洞。

开始于 2026年10月28日更新于 2026年11月4日

我该怎么办？

你: 无需操作。
如果你运营网站或应用: 立即将 WordPress 更新到 7.1.4（或你所用分支的修复版本），并禁止通过网络访问 wp-content/upgrade/。检查网站是否已被入侵。

已有修复 · 2026年11月3日
CISA 将 CVE-2026-119977 加入已知被利用漏洞目录：攻击者正在利用。Wordfence 此前已发现补丁发布后有数千次探测请求。
CISA
已有修复 · 2026年10月28日
WordPress 7.1.4 修复了更新流程中可能导致远程代码执行的弱点。针对 4.7 以前旧分支的修复正陆续发布。
WordPress