CVE-2026-119977CVSS 8.1无需认证的暂存安装程序竞争条件
攻击者可在更新清理前访问临时安装文件，执行服务器代码；无需账户。
WordPress 修复更新窗口 RCE，攻击者正探测暂存安装程序
WordPress 7.1.4 修复无需认证的更新窗口 RCE 及其他安全问题。Wordfence 观察到利用尝试，尚未确立成功入侵；该 RCE 需要完整包更新及可从公网执行的暂存文件。
- 披露时间
- 2026年10月28日
- 公开披露日期
- 严重程度
- CVSS 8.1
- 本页收录 1 个 CVE
- 波及范围
- 未修复的 WordPress 4.7–7.1.3 在完整包更新期间，暂存目录可从公网访问并执行 PHP
- php
- 在野利用
- 已发现
- Wordfence 报告主动利用尝试，尚未确立成功入侵。
发生了什么
10 月 28 日发布批次将存储型 XSS、Interactivity API、信息泄露、权限修复与安装程序竞争条件及证书信任更新一并发布。各项所需权限及受影响分支不同，不能把无需认证 RCE 的前提套用到全部同批问题。
攻击者必须定位临时目录，并在清理前完成攻击；Wordfence 测试中通常只有数秒。处于空闲状态的 WordPress 安装并非持续暴露于该竞争条件。L4 反映主流平台正遭主动攻击，并不代表已证明大规模入侵。尚无受害者数量。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| WordPress 7.1 | 7.1.4 | |
| WordPress 7.0 | 7.0.8 | |
| WordPress 6.9 | 6.9.11 | |
| WordPress 6.8 | 6.8.12 | |
| WordPress 6.7 | 6.7.11 | |
| WordPress 6.6 | 6.6.11 | |
| WordPress 6.5 | 6.5.14 | |
| WordPress 6.4 | 6.4.14 | |
| WordPress 6.3 | 6.3.14 | |
| WordPress 6.2 | 6.2.15 | |
| WordPress 6.1 | 6.1.16 | |
| WordPress 6.0 | 6.0.18 | |
| WordPress 5.9 | 5.9.20 | |
| WordPress 5.8 | 5.8.19 | |
| WordPress 5.7 | 5.7.21 | |
| WordPress 5.6 | 5.6.23 | |
| WordPress 5.5 | 5.5.24 | |
| WordPress 5.4 | 5.4.25 | |
| WordPress 5.3 | 5.3.27 | |
| WordPress 5.2 | 5.2.30 | |
| WordPress 5.1 | 5.1.28 | |
| WordPress 5.0 | 5.0.31 | |
| WordPress 4.9 | 4.9.35 | |
| WordPress 4.8 | 4.8.34 | |
| WordPress 4.7 | 4.7.39 | |
| WordPress 4.6 及更早版本 | 无修复 | 不再接收安全更新，需迁移 |
案发时间线
2026年10月28日
WordPress 发布安全更新
2026年10月29日
Wordfence 报告暂存安装程序利用尝试
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。