WordPress 10 月 28 日发布安全版本 7.1.4，官方建议立即更新。其中最严重的一个是核心升级过程中的竞态条件，可导致远程代码执行，编号 CVE-2026-119977。NVD 收录的描述是：4.7 到 7.1.3 的 WordPress 在做整包核心升级时，使用的临时目录路径可以被猜到、而且能从网上直接访问，未登录的攻击者可以趁升级的那段时间在服务器上执行代码；CVSS 3.1 评分 8.1（利用难度标为「高」）。11 月 3 日，CISA 把它列入已知被利用漏洞目录（KEV），给联邦机构的期限只有三天（11 月 6 日），并标注「需要取证排查」。

7.1.4 还修了什么

  • 多个存储型 XSS：区块标记、Interactivity API、自定义器局部刷新、分类区块、播放列表和图片区块、评论分页区块，以及特制的用户名和隐私数据删除请求。多数需要投稿者或编辑以上权限才能利用。
  • 未发布的自定义器改动可以被未登录的访客看到；有评论审核权限的自定义角色能读到、编辑无权编辑的文章上的备注。
  • 因为 eMudhra 证书事件，更新了 WordPress 自带的根证书包（WordPress 发起 HTTPS 请求时会用到它）。

怎么确认自己已经安全

  • 看版本：后台「仪表盘 → 更新」，或者用 WP-CLI 执行 wp core version。最新是 7.1.4；还停在旧分支的，WordPress 版本接口显示的回移植版本有 7.0.8、6.9.11、6.8.12，一直到 4.7.39。7.1.3、7.0.7 这些旧版本已经被标为不安全。官方也提醒，只有最新版本才是真正受支持的。
  • 开着自动后台更新的网站，官方说更新会自动开始，但别想当然：如果在 wp-config.php 里关掉了自动更新（比如设了 AUTOMATIC_UPDATER_DISABLED），或者网站文件权限不允许写入，就得手动升级。用 Debian 软件包装的 WordPress，Debian 10 月 29 日已发布 DSA-6596-1。
  • 既然 CISA 要求取证排查，升级之后再看一眼：有没有不认识的管理员账号，网站根目录、wp-content（包括存放升级临时文件的 wp-content/upgrade/）里有没有陌生的 .php 文件。

同一时期的 PHP 漏洞要一起查

WordPress 跑在 PHP 上。10 月下旬的 PHP php2shell 漏洞已被在野利用，还能和一个内核漏洞串联拿到 root，见这篇报道；WordPress 核心上一次被在野利用的漏洞是 9 月的 CVE-2026-87902，见这里。自建站点的完整步骤见在 VPS 上搭建 WordPress，升级前最好先按备份方案留一份。