WordPress是全球广泛使用的开源内容管理系统（CMS）。
近日，监测到WordPress Core远程代码执行漏洞（CVE-2026-119977）。该漏洞源于完整包核心升级过程中，升级程序将更新包解压至wp-content/upgrade/下基于包名生成的可预测、Web可访问临时目录。临时目录包含安装程序setup-config.php，且在升级窗口期间可被外部HTTP请求直接执行。攻击者可利用该漏洞，在升级窗口内通过竞争条件注入恶意配置，最终实现任意代码执行，导致服务器完全沦陷。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
4.7.0 <= WordPress <= 4.7.38
4.8.0 <= WordPress <= 4.8.33
4.9.0 <= WordPress <= 4.9.34
5.0.0 <= WordPress <= 5.0.30
5.1.0 <= WordPress <= 5.1.27
5.2.0 <= WordPress <= 5.2.29
5.3.0 <= WordPress <= 5.3.26
5.4.0 <= WordPress <= 5.4.24
5.5.0 <= WordPress <= 5.5.23
5.6.0 <= WordPress <= 5.6.22
5.7.0 <= WordPress <= 5.7.20
5.8.0 <= WordPress <= 5.8.18
5.9.0 <= WordPress <= 5.9.19
6.0.0 <= WordPress <= 6.0.17
6.1.0 <= WordPress <= 6.1.15
6.2.0 <= WordPress <= 6.2.14
6.3.0 <= WordPress <= 6.3.13
6.4.0 <= WordPress <= 6.4.13
6.5.0 <= WordPress <= 6.5.13
6.6.0 <= WordPress <= 6.6.10
6.7.0 <= WordPress <= 6.7.10
6.8.0 <= WordPress <= 6.8.11
6.9.0 <= WordPress <= 6.9.10
7.0.0 <= WordPress <= 7.0.7
7.1.0 <= WordPress <= 7.1.3
三、修复建议
官方已发布安全补丁，请及时更新至安全版本：
WordPress 4.7.* >= 4.7.39
WordPress 4.8.* >= 4.8.34
WordPress 4.9.* >= 4.9.35
WordPress 5.0.* >= 5.0.31
WordPress 5.1.* >= 5.1.28
WordPress 5.2.* >= 5.2.30
WordPress 5.3.* >= 5.3.27
WordPress 5.4.* >= 5.4.25
WordPress 5.5.* >= 5.5.24
WordPress 5.6.* >= 5.6.23
WordPress 5.7.* >= 5.7.21
WordPress 5.8.* >= 5.8.19
WordPress 5.9.* >= 5.9.20
WordPress 6.0.* >= 6.0.18
WordPress 6.1.* >= 6.1.16
WordPress 6.2.* >= 6.2.15
WordPress 6.3.* >= 6.3.14
WordPress 6.4.* >= 6.4.14
WordPress 6.5.* >= 6.5.14
WordPress 6.6.* >= 6.6.11
WordPress 6.7.* >= 6.7.11
WordPress 6.8.* >= 6.8.12
WordPress 6.9.* >= 6.9.11
WordPress 7.0.* >= 7.0.8
WordPress 7.1.* >= 7.1.4