WORLDTECH网络安全 单一来源
美国CISA将WordPress漏洞纳入已知被利用漏洞目录
由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English
事件经过
网络安全和基础设施安全局（CISA）已将一个WordPress（内容管理系统）漏洞纳入其已知被利用漏洞（KEV）目录。该漏洞编号为CVE-2026-119977，CVSS评分为8.1，CISA将其添加到该目录中。
WordPress发布安全更新后不久，威胁行为者便开始扫描CVE-2026-119977。
然而，这些数字记录的是利用尝试，而非已确认的成功入侵。CVE-2026-119977是一个高危远程代码执行（即从外部在机器上运行程序）漏洞，影响WordPress 4.7至7.1.3版本。
该漏洞源于核心更新期间使用的、可通过网络访问的可预测暂存目录。未经身份验证的攻击者可利用竞争条件，在更新进行期间在服务器上执行恶意代码，从而可能危及网站安全。
WordPress已在7.1.4版本中修复该漏洞。Wordfence记录到，在最初21小时内，有超过18500次请求针对存在漏洞的暂存安装程序路径。
专家还建议，私营机构应查阅该目录，并处理其基础设施中的相关漏洞。CISA要求联邦机构在2026年11月6日前修复该漏洞。