大工网安告[2026038]
一、 情况分析
WordPress是全球最广泛使用的开源内容管理系统（CMS），基于PHP和MySQL/MariaDB构建，提供文章发布、页面管理、媒体库、插件扩展与主题换肤等完整建站能力。它既可通过WordPress.org官方托管服务使用，也可免费下载自建于各类Web服务器环境，凭借丰富的生态和易用性成为个人博客、企业官网、新闻媒体及电商平台的主流选择，目前为全球约43%的网站提供底层支撑。
近日，监测到WordPressCore竞争条件远程代码执行漏洞(CVE-2026-119977)在野利用。该漏洞源于完整包核心升级过程中，升级程序将更新包解压至wp-content/upgrade/下基于包名生成的可预测、Web可访问临时目录（相关代码位于class-wp-upgrader.php、class-core-upgrader.php、update-core.php等）。临时目录包含安装程序setup-config.php，且在升级窗口期间可被外部HTTP请求直接执行。攻击者可利用该漏洞，在升级窗口内通过竞争条件注入恶意配置，最终实现任意代码执行，导致服务器完全沦陷。
威胁类型：代码执行。
技术类型：条件竞争。
危害描述：攻击者可利用该漏洞，在升级窗口内通过竞争条件注入恶意配置，最终实现任意代码执行，导致服务器完全沦陷。
二、 影响版本
4.7.0<=WordPress<=4.7.38
4.8.0<=WordPress<=4.8.33
4.9.0<=WordPress<=4.9.34
5.0.0<=WordPress<=5.0.30
5.1.0<=WordPress<=5.1.27
5.2.0<=WordPress<=5.2.29
5.3.0<=WordPress<=5.3.26
5.4.0<=WordPress<=5.4.24
5.5.0<=WordPress<=5.5.235
.6.0<=WordPress<=5.6.22
5.7.0<=WordPress<=5.7.20
5.8.0<=WordPress<=5.8.18
5.9.0<=WordPress<=5.9.19
6.0.0<=WordPress<=6.0.17
6.1.0<=WordPress<=6.1.15
6.2.0<=WordPress<=6.2.14
6.3.0<=WordPress<=6.3.13
6.4.0<=WordPress<=6.4.13
6.5.0<=WordPress<=6.5.13
6.6.0<=WordPress<=6.6.10
6.7.0<=WordPress<=6.7.10
6.8.0<=WordPress<=6.8.11
6.9.0<=WordPress<=6.9.10
7.0.0<=WordPress<=7.0.7
7.1.0<=WordPress<=7.1.3
注意：底层脆弱代码自WordPress2.7/2.8引入的内置核心更新器即已存在，2.7-4.6分支已无官方修复版本。
三、 处置建议
修复解决方案（含漏洞补丁）：
目前WordPress官方已发布安全更新，建议受影响用户尽快升级至对应修复版本：
WordPress4.7.*>=4.7.39
WordPress4.8.*>=4.8.34
WordPress4.9.*>=4.9.35
WordPress5.0.*>=5.0.31
WordPress5.1.*>=5.1.28
WordPress5.2.*>=5.2.30
WordPress5.3.*>=5.3.27
WordPress5.4.*>=5.4.25
WordPress5.5.*>=5.5.24
WordPress5.6.*>=5.6.23
WordPress5.7.*>=5.7.21
WordPress5.8.*>=5.8.19
WordPress5.9.*>=5.9.20
WordPress6.0.*>=6.0.18
WordPress6.1.*>=6.1.16
WordPress6.2.*>=6.2.15
WordPress6.3.*>=6.3.14
WordPress6.4.*>=6.4.14
WordPress6.5.*>=6.5.14
WordPress6.6.*>=6.6.11
WordPress6.7.*>=6.7.11
WordPress6.8.*>=6.8.12
WordPress6.9.*>=6.9.11
WordPress7.0.*>=7.0.8
WordPress7.1.*>=7.1.4
站点管理员可通过WordPress后台进行升级，也可从WordPress官方渠道下载最新安装包进行手动更新。
若站点已开启自动更新，应确认核心版本已成功更新至修复版本。
修复缓解措施：
1.在升级前通过Web服务器配置（.htaccess、Nginx规则等）拒绝对/wp-content/upgrade/的HTTP访问。
2.使用WAF/防火墙拦截对setup-config.php及wp-content/upgrade路径的异常请求。
