WordPress mengeluarkan versi keselamatan 7.1.4 pada 28 Oktober dan mengesyorkan kemas kini segera. Pembaikan paling serius ialah keadaan perlumbaan dalam proses naik taraf teras yang boleh membawa kepada pelaksanaan kod jauh, dijejaki sebagai CVE-2026-119977. Menurut huraian NVD, dalam WordPress 4.7 hingga 7.1.3, naik taraf teras pakej penuh menggunakan laluan pementasan yang boleh diteka dan boleh dicapai dari web, jadi penyerang yang tidak disahkan boleh melaksanakan kod pada pelayan semasa tempoh naik taraf; CVSS 3.1 8.1 (kerumitan serangan dinilai tinggi). Pada 3 November CISA menambahnya ke dalam katalog Kelemahan Dieksploitasi yang Diketahui (KEV), memberi agensi persekutuan hanya tiga hari (sehingga 6 November) dan menandakannya sebagai memerlukan triaj forensik.

Apa Lagi yang Dibaiki oleh 7.1.4

  • Beberapa isu XSS tersimpan: markup blok, Interactivity API, penyegaran terpilih Customizer, blok Kategori, blok Playlist dan imej, blok penomboran halaman komen, serta log masuk pengguna dan permintaan pemadaman data peribadi yang direka khas. Kebanyakannya memerlukan keistimewaan penyumbang atau penyunting ke atas.
  • Set perubahan Customizer yang belum diterbitkan boleh ditemui oleh pelawat yang tidak disahkan, dan peranan tersuai yang menyederhana komen boleh membaca dan menyunting nota pada siaran yang tidak boleh mereka sunting.
  • Disebabkan insiden sijil eMudhra, himpunan sijil akar yang dibawa bersama WordPress (digunakan untuk permintaan HTTPS WordPress sendiri) telah dikemas kini.

Cara Mengesahkan Anda Selamat

  • Semak versi: Papan Pemuka → Kemas Kini, atau wp core version dengan WP-CLI. Versi terkini ialah 7.1.4; bagi laman yang masih pada cabang lama, API versi WordPress menyenaraikan pembaikan port balik termasuk 7.0.8, 6.9.11 dan 6.8.12, hingga ke 4.7.39. Versi lama seperti 7.1.3 dan 7.0.7 kini ditandakan tidak selamat, dan WordPress mengingatkan bahawa hanya versi terkini yang disokong secara aktif.
  • WordPress berkata laman yang mendayakan kemas kini latar belakang automatik akan dikemas kini sendiri, tetapi jangan anggap begitu sahaja: jika anda melumpuhkan kemas kini automatik dalam wp-config.php (contohnya dengan AUTOMATIC_UPDATER_DISABLED) atau kebenaran fail laman menghalang penulisan, anda perlu mengemas kini secara manual. Jika anda menjalankan WordPress daripada pakej Debian, Debian mengeluarkan DSA-6596-1 pada 29 Oktober.
  • Oleh sebab CISA meminta triaj forensik, semak sekali lagi selepas mengemas kini: sebarang akaun pentadbir yang tidak anda kenali, dan sebarang fail .php yang asing dalam akar laman atau wp-content (termasuk wp-content/upgrade/, tempat fail naik taraf dipentaskan).

Semak Juga Kelemahan PHP daripada Minggu yang Sama

WordPress berjalan di atas PHP. Kelemahan php2shell pada akhir Oktober kini dieksploitasi dan boleh dirantaikan dengan pepijat kernel untuk mendapat root, seperti diterangkan dalam laporan ini; kelemahan teras WordPress yang dieksploitasi sebelum ini ialah CVE-2026-87902 pada September, dibincangkan di sini. Untuk panduan penuh hos sendiri lihat membina laman WordPress pada VPS, dan sebelum naik taraf, simpan satu salinan menggunakan salah satu strategi sandaran ini.