// AI 威胁新闻台 · 2026年11月3日
首页/CVE · 漏洞修补
漏洞修补严重RCECVSS 9.2 / 8.1 / 4.7

WordPress核心漏洞发布7.1.4后遭攻击

2026年10月28日补丁发布后，攻击者试图利用影响4.7至7.1.3版本的WordPress核心远程代码执行漏洞。The Hacker News披露了这一活动。

· 阅读 2 分钟
AI 生成图像，非事件现场照片
AI 生成图像，非事件现场照片。
重点
  • HKCERT表示，WordPress于2026年10月28日发布7.1.4版本，修复22个安全漏洞。
  • 该漏洞可能允许赢得提取竞态的未认证攻击者实现远程代码执行。
  • Wordfence表示，24小时内拦截了针对该漏洞的62969次攻击。

The Hacker News表示，攻击者试图利用WordPress核心远程代码执行漏洞后，WordPress于2026年10月28日发布补丁。The Hacker News称，该漏洞没有CVE标识符。

该问题影响WordPress核心4.7至7.1.3版本。赢得竞态的未认证攻击者可在WordPress提取完整更新时实现服务器上的远程代码执行。

WordPress是一款免费、开源的Web内容管理系统，用于网站、论坛、媒体图库、会员网站、学习平台和在线商店。截至2024年12月，全球排名前100万个网站中有22.52%使用了它。

本文目录

WordPress暴露可通过Web访问的更新暂存路径

在完整软件包核心更新期间，WordPress会将新文件提取到Web提供服务的升级文件夹内一个可预测的目录中。Wordfence表示，该漏洞源于完整软件包核心升级期间使用了可预测且可通过Web访问的暂存路径。

攻击需要在WordPress解压完整核心更新期间抓住一个狭窄的时间窗口。The Hacker News表示，在正常实验室环境中，该窗口仅持续数秒。

WordPress 7.1.4关闭竞态条件漏洞

HKCERT表示，此次更新在修复存储型跨站脚本、信息泄露和权限问题的同时，关闭了代码执行漏洞。WordPress官方公告将报告该升级漏洞的功劳归于研究员Umut Bayram。

HKCERT表示，管理员还可以限制对wp-content/upgrade/的公共Web访问，以增加防护。

监测记录了针对该漏洞的尝试请求

Wordfence表示，24小时内拦截了针对该漏洞的62969次攻击。Alex Thomas表示，两个主要来源反复轮询少量网站，持续约14.5小时，这种行为符合试图捕捉短暂升级窗口的特征。

The Hacker News表示，该漏洞在补丁发布后不久就遭到攻击。该报道称，管理员应检查wp-content/upgrade中是否存在可疑PHP请求、陌生管理员账户、插件或PHP文件。

WordPress表示，7.1.4版本中的修复程序已向后移植到一直追溯至4.7的每个分支。

HKCERT表示，免费用户计划于11月27日收到相关防火墙规则，此前会经过标准的30天延迟。高级版、Care和Response客户于10月28日收到规则，时间约为发布后三小时。

防守方现在要做什么

  1. 尽快更新到7.1.4版本。
  2. 打开仪表盘，选择更新，并确认已安装WordPress 7.1.4。

常见问题

WordPress核心发生了什么？

The Hacker News表示，补丁于2026年10月28日发布后不久，攻击者试图利用一个远程代码执行漏洞。该报道称，该漏洞没有CVE标识符。

哪些WordPress版本受到影响？

The Hacker News表示，该漏洞影响WordPress核心4.7至7.1.3版本。WordPress表示，修复程序已向后移植到一直追溯至4.7的分支。

WordPress漏洞可以在未登录的情况下被利用吗？

WordPress表示，赢得针对更新文件提取过程的竞态的未认证攻击者可以实现远程代码执行。

如何修复WordPress核心漏洞？

The Hacker News表示，应尽快更新到7.1.4版本。HKCERT表示，管理员应打开仪表盘，选择更新，并确认已安装WordPress 7.1.4。

WordPress漏洞如何运作？

WordPress表示，在完整软件包核心更新期间，会将文件提取到Web提供服务的升级文件夹内一个可预测的目录中。The Hacker News表示，攻击者必须在WordPress解压更新时命中一个狭窄的窗口。

来源

  1. Over 60,000 Attacks Target WordPress RCE Vulnerability Within 24 Hours, HKCERT原始文件
  2. A race condition during core updates that could lead to remote code execution, GitHub原始文件
  3. WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours, The Hacker News
  4. WordPress Remote Code Execution Vulnerability Sees Almost 63,000 Attack Attempts Within 24 Hours, RS Web Solutions
  5. WordPress Flaw Under Active Attack: Hackers Target CVE-2026-87902 for Code Execution, TechRepublic
  6. WordPress, Wikipedia
我们如何核实这篇报道
内容来源状态
The Hacker News表示，威胁行为者在补丁发布后不久试图利用一个高危WordPress核心安全漏洞。The Hacker News引述
The Hacker News表示，该漏洞影响WordPress核心4.7至7.1.3版本，且没有CVE标识符。The Hacker News引述
The Hacker News表示，该漏洞的CVSS评分为8.1。The Hacker News引述
The Hacker News表示，WordPress于2026年10月28日发布了该漏洞的补丁。The Hacker News引述
Wordfence表示，该漏洞源于完整WordPress核心升级期间可预测且可通过Web访问的暂存路径。Wordfence, via The Hacker News引述
Wordfence表示，未认证攻击者可以在升级窗口期间执行服务器上的代码。Wordfence, via The Hacker News引述
Wordfence表示，24小时内拦截了针对该漏洞的62969次攻击。Wordfence, via The Hacker News引述
HKCERT表示，WordPress于2026年10月28日发布7.1.4版本，修复22个安全漏洞。HKCERT引述
HKCERT表示，此次更新在修复存储型跨站脚本、信息泄露和权限问题的同时，关闭了代码执行漏洞。HKCERT引述
HKCERT表示，高级版、Care和Response客户于10月28日收到防火墙规则，时间约为发布后三小时。HKCERT引述
HKCERT表示，免费用户计划在标准30天延迟后于11月27日收到防火墙规则。HKCERT引述
The Hacker News表示，管理员应检查wp-content/upgrade中是否存在可疑PHP请求、陌生管理员账户、插件或PHP文件。The Hacker News引述
WordPress 7.1.4修复了竞态条件漏洞，并将修复程序向后移植到一直追溯至4.7的每个分支。WordPress, via GitHub已证实
在完整软件包核心更新期间，WordPress将新文件提取到Web提供服务的升级文件夹内一个可预测的目录中。WordPress, via GitHub已证实
赢得针对提取过程的竞态的未认证攻击者可以实现远程代码执行。WordPress, via GitHub已证实
HKCERT表示，网站所有者应限制对wp-content/upgrade的公共Web访问，以增加防护。HKCERT引述
截至2024年12月，全球排名前100万个网站中有22.52%使用了WordPress。Wikipedia已证实
TechRepublic表示，WordPress为该漏洞分配了CVSS v4.0评分9.2，并将其归类为严重漏洞。TechRepublic引述

未能核实

  • 尚未确定是否有任何网站被成功入侵
  • 尚未确定有多少个单独网站成为攻击目标
  • 尚未确定攻击尝试是否导致远程代码执行
HKCERT
查看全部 漏洞修补 →
用 AI 深入了解
ChatGPT
Claude
Perplexity
Grok