- HKCERT表示，WordPress於2026年10月28日發布7.1.4版本，修補22項保安漏洞。
- 未經驗證的攻擊者如在解壓縮競賽中勝出，可能取得遠程程式碼執行權限。
- Wordfence表示，該公司在24小時內封鎖了針對該漏洞的62,969次攻擊。
《The Hacker News》表示，WordPress於2026年10月28日發布修補程式，此前攻擊者曾試圖利用WordPress Core遠程程式碼執行漏洞，詳情見報道。該漏洞沒有CVE識別碼。
該問題影響WordPress Core4.7至7.1.3版本。未經驗證的攻擊者如在WordPress解壓縮完整更新期間贏得競賽，便可能在伺服器上取得遠程程式碼執行權限。
WordPress是免費的開源網頁內容管理系統，用於網站、論壇、媒體圖庫、會員網站、學習平台及網上商店。截至2024年12月，全球排名首100萬個網站中有22.52%使用該系統。
WordPress暴露可從網絡存取的更新暫存路徑
在完整套件核心更新期間，WordPress會將新檔案解壓縮至網絡提供服務的升級資料夾內一個可預測的目錄。Wordfence表示，漏洞源於完整套件核心升級期間所使用、可預測且可從網絡存取的暫存路徑。
攻擊需要在WordPress解包完整核心更新期間的一個狹窄時間窗口。《The Hacker News》表示，在正常實驗室環境中，該窗口只持續數秒。
WordPress 7.1.4堵塞競爭條件漏洞
HKCERT表示，該更新同時堵塞程式碼執行弱點，以及儲存型跨網站指令碼、資料披露及權限問題。WordPress官方公告鳴謝研究員Umut Bayram報告該升級漏洞。
HKCERT表示，管理員亦可限制公眾從網絡存取wp-content/upgrade/，以加強防護。
監察記錄針對漏洞的嘗試請求
Wordfence表示，該公司在24小時內封鎖了針對該漏洞的62,969次攻擊。Alex Thomas表示，兩個主要來源反覆輪詢小批網站約14.5小時，行為符合試圖捕捉短暫升級窗口的特徵。
《The Hacker News》表示，該漏洞在修補程式發布後不久便遭針對。該報亦表示，管理員應檢查wp-content/upgrade，有否可疑PHP請求、不熟悉的管理員帳戶、插件或PHP檔案。
WordPress表示，7.1.4版本的修補程式已回溯移植至所有分支，追溯至4.7版本。
HKCERT表示，免費用戶預定於11月27日收到相關防火牆規則，其後為標準的30日延遲期。Premium、Care及Response客戶已於10月28日收到規則，即發布後約3小時。
防守方現在要做甚麼
- 盡快更新至7.1.4版本。
- 開啟控制台，選取更新，並確認已安裝WordPress 7.1.4。
常見問題
WordPress Core發生了甚麼事？
《The Hacker News》表示，攻擊者在2026年10月28日發布修補程式後不久，試圖利用一項遠程程式碼執行漏洞。該報表示，漏洞沒有CVE識別碼。
哪些WordPress版本受影響？
《The Hacker News》表示，漏洞影響WordPress Core4.7至7.1.3版本。WordPress表示，修補程式已回溯移植至追溯至4.7版本的分支。
WordPress漏洞可否在未登入的情況下遭利用？
WordPress表示，未經驗證的攻擊者如在更新檔案解壓縮競賽中勝出，便可能取得遠程程式碼執行權限。
如何修補WordPress Core漏洞？
《The Hacker News》表示，應盡快更新至7.1.4版本。HKCERT表示，管理員應開啟控制台，選取更新，並確認已安裝WordPress 7.1.4。
WordPress漏洞如何運作？
WordPress表示，在完整套件核心更新期間，系統會將檔案解壓縮至網絡提供服務的升級資料夾內一個可預測的目錄。《The Hacker News》表示，攻擊者必須在WordPress解包更新期間命中一個狹窄窗口。
來源
- Over 60,000 Attacks Target WordPress RCE Vulnerability Within 24 Hours, HKCERT原始文件
- A race condition during core updates that could lead to remote code execution, GitHub原始文件
- WordPress RCE Flaw Draws Nearly 63,000 Attack Attempts in Just 24 Hours, The Hacker News
- WordPress Remote Code Execution Vulnerability Sees Almost 63,000 Attack Attempts Within 24 Hours, RS Web Solutions
- WordPress Flaw Under Active Attack: Hackers Target CVE-2026-87902 for Code Execution, TechRepublic
- WordPress, Wikipedia
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| 《The Hacker News》表示，威脅行為者在修補程式發布後不久試圖利用一項高嚴重程度的WordPress Core保安漏洞。 | The Hacker News | 引述 |
| 《The Hacker News》表示，該漏洞影響WordPress Core4.7至7.1.3版本，並沒有CVE識別碼。 | The Hacker News | 引述 |
| 《The Hacker News》表示，該漏洞的CVSS評分為8.1。 | The Hacker News | 引述 |
| 《The Hacker News》表示，wordPress於2026年10月28日發布針對該漏洞的修補程式。 | The Hacker News | 引述 |
| Wordfence表示，該漏洞源於完整WordPress Core升級期間可預測且可從網絡存取的暫存路徑。 | Wordfence, via The Hacker News | 引述 |
| Wordfence表示，未經驗證的攻擊者可在升級窗口期間於伺服器執行程式碼。 | Wordfence, via The Hacker News | 引述 |
| Wordfence表示，該公司在24小時內封鎖了針對該漏洞的62,969次攻擊。 | Wordfence, via The Hacker News | 引述 |
| HKCERT表示，wordPress於2026年10月28日發布7.1.4版本，修補22項保安漏洞。 | HKCERT | 引述 |
| HKCERT表示，該更新堵塞程式碼執行弱點，以及儲存型跨網站指令碼、資料披露及權限問題。 | HKCERT | 引述 |
| HKCERT表示，Premium、Care及Response客戶已於10月28日收到防火牆規則，即發布後約3小時。 | HKCERT | 引述 |
| HKCERT表示，免費用戶預定於11月27日，在標準30日延遲期後收到防火牆規則。 | HKCERT | 引述 |
| 《The Hacker News》表示，管理員應檢查wp-content/upgrade，有否可疑PHP請求、不熟悉的管理員帳戶、插件或PHP檔案。 | The Hacker News | 引述 |
| WordPress 7.1.4修補競爭條件漏洞，而修補程式已回溯移植至所有分支，追溯至4.7版本。 | WordPress, via GitHub | 已證實 |
| 在完整套件核心更新期間，WordPress會將新檔案解壓縮至網絡提供服務的升級資料夾內一個可預測的目錄。 | WordPress, via GitHub | 已證實 |
| 未經驗證的攻擊者如在解壓縮競賽中勝出，便可取得遠程程式碼執行權限。 | WordPress, via GitHub | 已證實 |
| HKCERT表示，網站擁有人應限制公眾從網絡存取wp-content/upgrade，以作額外防護。 | HKCERT | 引述 |
| 截至2024年12月，全球排名首100萬個網站中有22.52%使用WordPress。 | Wikipedia | 已證實 |
| TechRepublic表示，wordPress為該漏洞評定CVSS v4.0評分9.2，並列為嚴重。 | TechRepublic | 引述 |
未能核實
- 是否有任何網站成功遭入侵，尚未確定
- 有多少個別網站成為目標，尚未確定
- 攻擊嘗試是否導致遠程程式碼執行，尚未確定
