回到上一頁

WordPress漏洞公告後九分鐘出現攻擊，網站應儘速更新

2026-11-04
WordPress於2026年10月28日發布7.1.4安全更新，修補22項安全漏洞。資安業者Wordfence指出，更新公告發布約9分鐘後便觀察到針對其中一項遠端程式碼執行漏洞的攻擊嘗試。這顯示漏洞資訊公開後，攻擊者可能迅速展開自動化探測，網站管理員應縮短安全更新時間。
【事件經過】
本次受到關注的漏洞編號為CVE-2026-119977，涉及WordPress執行完整核心套件更新時，暫存檔案可能暴露於網站可存取路徑的問題。
更新過程中，WordPress會將安裝檔案解壓縮至暫存目錄。在特定部署條件下，攻擊者可能於更新期間存取其中的setup-config.php，進一步利用安裝程序執行惡意程式碼。
Wordfence表示，在更新公告發布後21小時內，已觀察到超過18,500次相關請求，其中包含針對小型網站持續進行的探測活動。
這些紀錄證實攻擊嘗試迅速出現，但不能將所有探測請求都視為成功入侵。
【影響範圍】
CVE-2026-119977屬於遠端程式碼執行漏洞，CVSS v3.1評分為8.1分，嚴重程度為High。
依漏洞資料，受影響範圍涉及WordPress 4.7至7.1.3的部分版本，各舊分支是否已修補，須依官方安全維護版本判定。
漏洞利用必須符合特定條件，包括完整套件更新期間、暫存目錄可由網站存取，以及攻擊者成功掌握短暫的利用時機。
美國CISA於11月3日將該漏洞列入已知遭利用漏洞（KEV）清單，但原文未提供已確認受害網站數量。
【建議措施】
管理員應優先將WordPress更新至7.1.4，並確認外掛程式、佈景主題及PHP環境相容。
仍使用舊版分支的網站，應查閱WordPress官方安全維護公告，確認是否已有對應的回溯修補版本，並規劃升級至持續支援的版本。
更新前應建立完整備份，更新後檢查網站功能、登入、後台操作及相關日誌，確認系統正常運作。
同時檢視網站伺服器是否不必要地開放暫存目錄，避免安裝或更新檔案遭外部存取。
【國內機關與企業之影響與因應】
原文未提供台灣受害案例。
使用WordPress經營官方網站、活動平台及資訊發布服務的機關與企業，應建立固定的核心程式與外掛更新程序。
建議將版本盤點、更新期限、備份驗證及異常請求監控納入例行維運，並依組態基準（GCB）檢查網站伺服器的存取限制，降低漏洞揭露後的暴露風險。
【新聞出處】
原文標題：甫修補的WordPress漏洞9分鐘後即出現嘗試利用活動
媒體名稱：iThome
發布日期：2026年11月3日
官方補充資料：WordPress 7.1.4 Security Release
發布日期：2026年10月28日