WordPress 核心 RCE 漏洞引來 24 小時內 6.3 萬次攻擊：升級窗口的競賽條件讓攻擊者有機可乘

發生了什麼

想像你管理一個 WordPress 網站，收到升級通知，點下「立即更新」。WordPress 開始下載新版本的完整套件，解壓縮到一個暫存目錄，複製檔案，然後清理暫存檔案。整個過程只需要幾秒鐘。但在那幾秒鐘內，攻擊者可以透過 web 存取那個暫存目錄，觸發 WordPress 的安裝程式，執行 PHP 程式碼。

2026 年 10 月 28 日，WordPress 發布 7.1.4 版本，修補一個 CVSS 8.1 的遠端程式碼執行漏洞（目前無 CVE 編號）。這個漏洞影響 WordPress Core 4.7 至 7.1.3 版本，允許未經身分驗證的攻擊者在 WordPress 執行完整套件升級時，透過可預測的暫存目錄路徑觸發安裝程式並執行程式碼。

來源：本文整理自 The Hacker News 於 2026 年 10 月 30 日發布的報導，原始分析來自 Wordfence 威脅回應團隊。原文連結，原文發布日期為 2026 年 10 月 30 日。

修補版本發布後 24 小時內，Wordfence 已攔截 62,969 次攻擊嘗試。攻擊者持續輪詢 setup-config.php 等路徑，試圖抓住短暫的升級窗口。

漏洞原理：競賽條件與可預測路徑

這個漏洞的核心問題是 WordPress 在執行完整套件升級時的行為：

可預測的暫存目錄

受影響版本的 WordPress 會將新檔案解壓縮到一個可預測的目錄：wp-content/upgrade/。這個目錄在許多伺服器上是可透過 web 存取的。

解壓縮的檔案包括 WordPress 安裝程式，例如 setup-config.php。

短暫的升級窗口

成功利用這個漏洞需要攻擊者在 WordPress 清理暫存檔案之前送出請求。Wordfence 威脅回應團隊負責人 Alex Thomas 表示，這個窗口「在正常實驗室環境中只持續數秒」。

「因為暫存目錄在許多伺服器上是可透過 web 存取的，未經身分驗證的攻擊者若能在精確的時間點請求安裝程式，就能與暫存的 WordPress 副本互動，進而執行 PHP 程式碼。」

但攻擊者不需要精確計時——他們可以持續輪詢這些路徑，總會碰到某個網站正在升級的時刻。

攻擊條件

一個成功的攻擊需要以下條件同時滿足：

1. 包含安裝程式檔案的完整套件更新
2. 暫存目錄的公開 web 與 PHP 存取權限
3. 可預測或已知的暫存路徑
4. 足夠的時間在 WordPress 清理暫存檔案前完成攻擊

攻擊者的行為：持續輪詢 14.5 小時

Wordfence 觀察到攻擊者的具體行為：

1. 持續輪詢易受攻擊路徑，例如 setup-config.php
2. 兩個最大攻擊來源持續輪詢小群組網站約 14.5 小時，行為符合試圖捕捉短暫升級窗口的特徵
3. 其他攻擊來源測試多種暫存目錄與版本名稱變化

雖然並非每個請求都使用確切的易受攻擊路徑，但持續輪詢與精確的目錄結構探測顯示攻擊者快速理解了競賽條件並開始針對性攻擊。

24 小時內 62,969 次攻擊

Wordfence 在修補版本發布後的 24 小時內攔截了 62,969 次攻擊嘗試。

這代表攻擊者非常迅速地將這個漏洞納入攻擊流程，即使升級窗口只有數秒鐘。

如何偵測與防禦

立即升級

WordPress 網站管理者應立即升級至 7.1.4 版本。

檢查日誌尋找攻擊跡象

檢視 web 伺服器日誌，尋找對以下路徑的異常請求：

• wp-content/upgrade/
• setup-config.php
• 其他 WordPress 安裝程式檔案

特別注意 10 月 28 日之後執行升級的網站——如果你在那之後升級，而且日誌中有對 wp-content/upgrade/ 的可疑請求，代表可能已被攻擊。

檢查是否已被入侵

如果懷疑已被入侵，檢查以下項目：

1. 未授權的管理員帳號：前往 WordPress 後台 → 使用者，檢視所有管理員帳號
2. 可疑的外掛或佈景主題：檢查最近安裝的外掛與佈景主題
3. 可疑的 PHP 檔案：檢查 wp-content/uploads/ 或其他公開可存取目錄下的 PHP 檔案

若已被入侵

如果發現被入侵跡象：

1. 立即隔離網站：暫時關閉網站或限制存取
2. 移除可疑帳號與檔案：刪除未授權的管理員帳號、外掛、PHP 檔案
3. 強制所有使用者重設密碼
4. 從乾淨備份還原：如果無法確定入侵範圍，最安全的做法是從攻擊前的備份還原
5. 升級至 7.1.4 並重新部署

為什麼這個漏洞很危險

不需要身分驗證

攻擊者不需要任何 WordPress 帳號，只要能存取網站的 URL 就能嘗試攻擊。

完全自動化

攻擊者可以自動化輪詢數千個 WordPress 網站，總會碰到有網站正在升級的時刻。14.5 小時的持續輪詢顯示攻擊者有耐心和資源進行大規模掃描。

影響範圍廣

WordPress 是全球使用最廣泛的內容管理系統，數百萬個網站使用 WordPress。雖然不是每個網站都會執行完整套件升級（有些使用自動更新、有些使用部分更新），但只要有一小部分網站在攻擊者輪詢期間執行升級，攻擊者就能成功。

修補前的暴露期

即使現在已有修補版本，仍有大量網站尚未升級。攻擊者會持續掃描，直到大部分網站都升級為止。

你可以學到什麼

站在攻擊者的角度：我不需要等你開始升級，我只要持續輪詢 setup-config.php 等路徑，總會碰到你執行完整套件更新的那幾秒鐘。升級窗口很短，但我有時間和耐心——持續輪詢 14.5 小時，總有一台會中。一旦我進入安裝程式，我就能執行 PHP 程式碼，建立管理員帳號、上傳後門外掛、植入 webshell。24 小時內我已經嘗試了 6.3 萬次，只要有一台成功就值得。

如果你管理 WordPress 網站

1. 立即升級至 7.1.4：不要等到下一個維護窗口，現在就升級。
2. 檢視日誌：尋找 10 月 28 日之後對 wp-content/upgrade/ 或 setup-config.php 的可疑請求。
3. 檢查帳號與檔案：確認所有管理員帳號、外掛與 PHP 檔案都是授權的。
4. 限制 wp-content/upgrade/ 的 web 存取：在 web 伺服器設定中禁止直接存取這個目錄（雖然 7.1.4 已修補，但多一層防護總是好的）。
5. 啟用自動更新：考慮啟用 WordPress 的自動安全更新，減少暴露窗口。

攻擊者已經在持續掃描，24 小時內就有 6.3 萬次攻擊嘗試。今天就修補。