一、背景介绍

近日监测到WordPress核心存在一个无需身份认证的远程代码执行漏洞CVE-2026-119977。WordPress官方已于2026年10月28日发布7.1.4安全版本修复该漏洞。该漏洞无需身份认证即可触发远程代码执行，且已有在野利用证据，风险较高。建议各单位尽快做好自查及防护。

1.1漏洞描述

WordPress是全球使用最广泛的开源内容管理系统，基于PHP和MySQL构建，用于搭建网站、博客、门户及电商站点（WooCommerce），并通过插件和主题扩展功能。其核心自带的升级程序负责下载并安装WordPress核心更新，本次漏洞就出在该升级过程之中。

CVE-2026-119977是WordPress核心中的一个远程代码执行漏洞，无需身份认证、无需用户交互。根因是完整包核心升级期间，升级程序将新版本文件解压到wp-content/upgrade/下的一个可预测目录中，该目录可通过Web访问，内含完整的WordPress安装副本及安装程序wp-admin/setup-config.php。攻击者在升级窗口内访问该暂存安装程序，即可完成分阶段安装、接管站点并执行服务器端代码；另有分析指出，攻击者植入的wp-config.php也可能随升级过程被提升覆盖原配置文件。复现结果如下图。

1.2漏洞编号

CVE-2026-119977

1.3漏洞等级

高危

二、修复建议

2.1受影响的版本

2.7.0 ≤ 版本 ≤4.6.x（含3.1）

4.7.0 ≤ 版本 ≤4.7.38

4.8.0 ≤ 版本 ≤4.8.33

4.9.0 ≤ 版本 ≤4.9.34

5.0.0 ≤ 版本 ≤5.0.30

5.1.0 ≤ 版本 ≤5.1.27

5.2.0 ≤ 版本 ≤5.2.29

5.3.0 ≤ 版本 ≤5.3.26

5.4.0 ≤ 版本 ≤5.4.24

5.5.0 ≤ 版本 ≤5.5.23

5.6.0 ≤ 版本 ≤5.6.22

5.7.0 ≤ 版本 ≤5.7.20

5.8.0 ≤ 版本 ≤5.8.18

5.9.0 ≤ 版本 ≤5.9.19

6.0.0 ≤ 版本 ≤6.0.17

6.1.0 ≤ 版本 ≤6.1.15

6.2.0 ≤ 版本 ≤6.2.14

6.3.0 ≤ 版本 ≤6.3.13

6.4.0 ≤ 版本 ≤6.4.13

6.5.0 ≤ 版本 ≤6.5.13

6.6.0 ≤ 版本 ≤6.6.10

6.7.0 ≤ 版本 ≤6.7.10

6.8.0 ≤ 版本 ≤6.8.11

6.9.0 ≤ 版本 ≤6.9.10

7.0.0 ≤ 版本 ≤7.0.7

7.1.0 ≤ 版本 ≤7.1.3

2.2修复建议

升级修复WordPress官方安全更新7.1.4已于2026年10月28日正式发布，建议用户尽快升级。

安全版本如下：≥4.7.39 / ≥4.8.34 / ≥4.9.35 / ≥5.0.31 / ≥5.1.28 / ≥5.2.30 / ≥5.3.27 / ≥5.4.25 / ≥5.5.24 / ≥5.6.23 / ≥5.7.21 / ≥5.8.19 / ≥5.9.20 / ≥6.0.18 / ≥6.1.16 / ≥6.2.15 / ≥6.3.14 / ≥6.4.14 / ≥6.5.14 / ≥6.6.11 / ≥6.7.11 / ≥6.8.12 / ≥6.9.11 / ≥7.0.8 / ≥7.1.4；建议统一升级至 ≥7.1.4。