黑客利用WordPress核心远程代码执行漏洞，发起超过240000次攻击尝试

事件经过

攻击者已针对WordPress（内容管理系统）核心升级过程中的一处漏洞发起了超过240000次利用尝试（利用尝试指将漏洞转化为入侵途径的攻击代码）。该漏洞可能导致未经身份验证的远程代码执行（即从外部在机器上运行程序）。Wordfence研究员István Márton报告称，针对此漏洞的攻击始于2026年10月28日。

分阶段安装程序的远程代码执行漏洞要求攻击者能够在活动升级期间访问临时安装文件。

其根本原因是一种时间检查与时间使用之间的竞争条件，涉及在完整软件包核心升级期间创建的、可预测且可通过网络访问的暂存目录。这些目录位于/wp-content/upgrade/之下，包含可执行的安装程序组件。

WordPress 7.1.4引入了暂存目录随机化、索引防护以及对暂存配置数据不安全提升的限制，减少了安装程序被滥用的机会。观察到的请求针对的路径包括/wp-content/upgrade/wordpress-6.9.11/setup-config.php，意图在安装文件仍可访问时拦截网站。

该高危漏洞编号为CVE-2026-119977（即特定软件缺陷的公开目录编号），CVSS评分为8.1，影响未修补的分支，涵盖WordPress 4.7至7.1.3版本。