WORLDTECH网络安全 单一来源
CISA确认黑客在WordPress核心软件升级期间利用该漏洞
由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English
事件经过
美国网络安全和基础设施安全局（CISA）已将WordPress（内容管理系统）核心软件中的一个安全漏洞列入已知被利用漏洞目录（KEV），理由是有证据表明该漏洞正在被积极利用。CISA确认黑客在WordPress核心软件升级期间利用该漏洞 作者：Ravie Lakshmanan 2026年11月04日 漏洞 / Web安全 该高危漏洞编号为CVE-2026-119977（CVSS评分：8.1），属于检查时间与使用时间（TOCTOU）竞争条件漏洞，可被利用以在受影响的服务器上实现任意代码执行。
该漏洞的补丁已于上月下旬发布。CISA表示：“WordPress核心软件存在一个检查时间与使用时间（TOCTOU）竞争条件漏洞，未经身份验证的攻击者可能在升级窗口期间在服务器上执行代码。”“这是由于在完整软件包核心升级过程中使用了可预测的、可通过网络访问的临时路径所致。”截至发稿时，过去24小时内已拦截12632次试图利用该漏洞的攻击。
上周，Wordfence表示利用该漏洞无需网站账户，该漏洞的细节随之曝光。不过，攻击者需要在完整的核心更新期间利用一个短暂的时间窗口，才能实现未经身份验证的代码执行。
这家WordPress安全公司表示，在漏洞公开披露后的最初21小时内，其记录到超过18500次针对临时“setup-config.php”安装程序路径的请求。Previdian的遥测数据显示，其蜜罐系统记录到来自英国地理位置IP地址的三次利用尝试。