一、漏洞详情

WordPress是全球广泛使用的开源内容管理系统（CMS）。

近日，监测到WordPress Core远程代码执行漏洞（CVE-2026-119977）。该漏洞源于完整包核心升级过程中，升级程序将更新包解压至wp-content/upgrade/下基于包名生成的可预测、Web可访问临时目录。临时目录包含安装程序setup-config.php，且在升级窗口期间可被外部HTTP请求直接执行。攻击者可利用该漏洞，在升级窗口内通过竞争条件注入恶意配置，最终实现任意代码执行，导致服务器完全沦陷。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

4.7.0 <= WordPress <= 4.7.38

4.8.0 <= WordPress <= 4.8.33

4.9.0 <= WordPress <= 4.9.34

5.0.0 <= WordPress <= 5.0.30

5.1.0 <= WordPress <= 5.1.27

5.2.0 <= WordPress <= 5.2.29

5.3.0 <= WordPress <= 5.3.26

5.4.0 <= WordPress <= 5.4.24

5.5.0 <= WordPress <= 5.5.23

5.6.0 <= WordPress <= 5.6.22

5.7.0 <= WordPress <= 5.7.20

5.8.0 <= WordPress <= 5.8.18

5.9.0 <= WordPress <= 5.9.19

6.0.0 <= WordPress <= 6.0.17

6.1.0 <= WordPress <= 6.1.15

6.2.0 <= WordPress <= 6.2.14

6.3.0 <= WordPress <= 6.3.13

6.4.0 <= WordPress <= 6.4.13

6.5.0 <= WordPress <= 6.5.13

6.6.0 <= WordPress <= 6.6.10

6.7.0 <= WordPress <= 6.7.10

6.8.0 <= WordPress <= 6.8.11

6.9.0 <= WordPress <= 6.9.10

7.0.0 <= WordPress <= 7.0.7

7.1.0 <= WordPress <= 7.1.3

三、修复建议

官方已发布安全补丁，请及时更新至安全版本：

WordPress 4.7.* >= 4.7.39

WordPress 4.8.* >= 4.8.34

WordPress 4.9.* >= 4.9.35

WordPress 5.0.* >= 5.0.31

WordPress 5.1.* >= 5.1.28

WordPress 5.2.* >= 5.2.30

WordPress 5.3.* >= 5.3.27

WordPress 5.4.* >= 5.4.25

WordPress 5.5.* >= 5.5.24

WordPress 5.6.* >= 5.6.23

WordPress 5.7.* >= 5.7.21

WordPress 5.8.* >= 5.8.19

WordPress 5.9.* >= 5.9.20

WordPress 6.0.* >= 6.0.18

WordPress 6.1.* >= 6.1.16

WordPress 6.2.* >= 6.2.15

WordPress 6.3.* >= 6.3.14

WordPress 6.4.* >= 6.4.14

WordPress 6.5.* >= 6.5.14

WordPress 6.6.* >= 6.6.11

WordPress 6.7.* >= 6.7.11

WordPress 6.8.* >= 6.8.12

WordPress 6.9.* >= 6.9.11

WordPress 7.0.* >= 7.0.8

WordPress 7.1.* >= 7.1.4