WordPress 10 月 28 日發布安全版本 7.1.4，官方建議立即更新。其中最嚴重的一個是核心升級過程中的競爭條件，可導致遠端程式碼執行，編號 CVE-2026-119977。NVD 收錄的描述是：4.7 到 7.1.3 的 WordPress 在做整包核心升級時，使用的暫存目錄路徑可以被猜到、而且能從網路上直接存取，未登入的攻擊者可以趁升級的那段時間在伺服器上執行程式碼；CVSS 3.1 評分 8.1（利用難度標為「高」）。11 月 3 日，CISA 把它列入已知被利用漏洞目錄（KEV），給聯邦機構的期限只有三天（11 月 6 日），並標註「需要取證排查」。
7.1.4 還修了什麼
- 多個儲存型 XSS：區塊標記、Interactivity API、自訂工具的選擇性重新整理、分類區塊、播放清單和圖片區塊、留言分頁區塊，以及特製的使用者名稱和隱私資料刪除請求。多數需要投稿者或編輯以上權限才能利用。
- 未發布的自訂工具改動可以被未登入的訪客看到；有留言審核權限的自訂角色能讀到、編輯無權編輯的文章上的備註。
- 因為 eMudhra 憑證事件，更新了 WordPress 自帶的根憑證套組（WordPress 發起 HTTPS 請求時會用到它）。
怎麼確認自己已經安全
- 看版本：後台「控制台 → 更新」，或者用 WP-CLI 執行
wp core version。最新是 7.1.4；還停在舊分支的，WordPress 版本 API顯示的向後移植版本有 7.0.8、6.9.11、6.8.12，一直到 4.7.39。7.1.3、7.0.7 這些舊版本已經被標為不安全。官方也提醒，只有最新版本才是真正受支援的。 - 開著自動後台更新的網站，官方說更新會自動開始，但別想當然：如果在
wp-config.php裡關掉了自動更新（比如設了AUTOMATIC_UPDATER_DISABLED），或者網站檔案權限不允許寫入，就得手動升級。用 Debian 套件裝的 WordPress，Debian 10 月 29 日已發布 DSA-6596-1。 - 既然 CISA 要求取證排查，升級之後再看一眼：有沒有不認識的管理員帳號，網站根目錄、
wp-content（包括存放升級暫存檔案的wp-content/upgrade/）裡有沒有陌生的 .php 檔案。
同一時期的 PHP 漏洞要一起查
WordPress 跑在 PHP 上。10 月下旬的 PHP php2shell 漏洞已被在野利用，還能和一個核心漏洞串聯拿到 root，見這篇報導；WordPress 核心上一次被在野利用的漏洞是 9 月的 CVE-2026-87902，見這裡。自建網站的完整步驟見在 VPS 上架設 WordPress，升級前最好先按備份方案留一份。