CISA确认黑客在软件升级期间利用WordPress核心漏洞

A Dell laptop with a blue desktop screen on a white surface — Erick Cerritos / Unsplash

美国网络安全和基础设施安全局（CISA）已将WordPress核心中的安全漏洞添加到已知被利用漏洞（KEV）目录中，并引用了积极利用的证据。该高严重性漏洞被追踪为CVE-2026-119977（CVSS评分：8.1），属于时间检查时间使用（TOCTOU）竞争条件的案例，可能被利用以实现对受影响服务器的任意代码执行。该漏洞的修补程序已在上个月底发布。

CISA表示，“WordPress核心包含一个时间检查时间使用（TOCTOU）竞争条件漏洞，可能允许未经身份验证的攻击者在升级窗口期间执行服务器上的代码。这是由于在完整包核心升级期间使用的可预测的、可通过网络访问的暂存路径。”

上周，Wordfence表示，利用该漏洞无需在网站上有账户，但攻击者确实需要在完整核心更新期间利用一个短暂的窗口，该窗口可能允许未经身份验证的代码执行。

在公开披露的前21小时内，WordPress安全公司表示，记录了超过18,500个针对暂存“setup-config.php”安装路径的请求。截至撰写时，在过去24小时内，已有12,632次攻击尝试利用该漏洞被阻止。

来自Previdian的遥测数据显示，已记录到来自一个位于英国的IP地址的三次利用尝试。这些利用事件于2026年10月30日被观察到。

随着CISA正式确认利用事件，联邦民用执行部门（FCEB）机构有时间在2026年11月6日之前应用修复。