CISA 確認 WordPress 核心升級窗口漏洞遭實際利用：
列入 KEV 清單，聯邦機構 11 月 6 日前須完成修補
為什麼現在很紅：WordPress 核心的升級窗口競賽條件漏洞不再只是理論風險——美國 CISA 確認已有攻擊者在野利用，正式列入 KEV 清單。蜜罐已捕獲實際攻擊，據 The Hacker News 轉述 Wordfence 在 21 小時內記錄超過 18,500 次針對性請求。聯邦機構有 3 天修補期限。
- 一句話結論
- 美國網路安全與基礎設施安全局（CISA）於 2026 年 11 月 3 日將 WordPress Core 的 CVE-2026-119977 漏洞列入 Known Exploited Vulnerabilities（KEV）清單，引用實際利用的證據。這是一個 CVSS 8.1、CWE-367 TOCTOU（Time-of-check Time-of-use）競賽條件漏洞，允許未經身分驗證的攻擊者在 WordPress 執行完整套件核心升級時，透過可預測且可從網路存取的暫存路徑執行程式碼。
- 他要的是什麼
- CISA 已經確認這個漏洞在野利用，代表我有充足的時間和目標。（作者推測）我可能透過持續輪詢暫存安裝路徑，總會碰到有網站正在執行完整套件升級的短暫窗口。據 The Hacker News 轉述，Wordfence 21 小時內記錄 18,500 次請求，24 小時內攔截 12,632 次——這不是我一個人在做，而是整個攻擊社群都在掃描。蜜罐已經抓到英國 IP 的實際利用，代表攻擊鏈已經成熟。
- 你今天做一件事
- CISA 列入 KEV 清單不是建議，而是確認：這個漏洞已經被利用。今天檢查你所有 WordPress 網站的版本，確認是否已升級至 7.1.4 或對應舊分支的修補版本。檢視 web 伺服器日誌，尋找對 setup-config.php 等暫存路徑的異常請求。如果你的網站在 10 月 28 日之後執行過升級，特別要檢查升級期間的日誌。聯邦機構有 3 天期限，你的企業也應該跟進同樣的優先度。 直接去做 →
- 哪些能信
- 7 可證明1 推論1 缺口 每個主張都標了等級，缺口是誠實寫出來的。
- 破口速查
- 受害端一律去識別化；寫「未公開」代表公開資料查不到。
- 伺服器服務商
- WordPress Core 4.7 至 7.1.3 版本受影響，修補版本為 7.1.4（2026-10-28）及各舊分支回補版本
- 網路服務商
- CVE-2026-119977，CVSS 8.1，CWE-367 TOCTOU 競賽條件，未經身分驗證的遠端程式碼執行
- 漏洞出現的地方
- 完整套件核心升級時，WordPress 將新檔案暫存至可預測且可從網路存取的路徑，攻擊者可在升級窗口內觸發安裝程式執行程式碼
- 馬上自我檢測
確認 WordPress 版本是否已升級至 7.1.4 或對應舊分支的修補版本 檢視 web 伺服器日誌，尋找對 setup-config.php 等暫存安裝路徑的異常請求 檢查是否有未授權的管理員帳號或可疑 PHP 檔案- 漏洞修補方式
- 立即升級至 WordPress 7.1.4 或對應舊分支的修補版本 若已被入侵，移除可疑帳號與檔案，從乾淨備份還原 考慮在升級時啟用維護模式，減少攻擊窗口暴露
有 15 分鐘再看：其餘 2 點
- 據 The Hacker News 轉述，Wordfence 在漏洞公開揭露後 21 小時內記錄超過 18,500 次針對暫存安裝程式路徑（如 setup-config.php）的請求；截至報導發布時，24 小時內已攔截 12,632 次攻擊嘗試。Previdian 的蜜罐系統於 2026 年 10 月 30 日捕獲 3 次來自英國 IP 的利用嘗試，證實漏洞已遭在野利用。
- 受影響版本為 WordPress Core 4.7 至 7.1.3。修補版本 7.1.4 於 2026 年 10 月 28 日發布，各舊分支的回補版本（如 6.9.11、7.0.8 等）亦陸續推出。CISA 要求聯邦民間行政部門（FCEB）機構在 2026 年 11 月 6 日前完成修補，並遵循 BOD 26-04 優先修補準則與鑑識分流要求。全球 WordPress 網站管理者應立即檢查版本並升級，檢視日誌尋找攻擊跡象。
美國 CISA 於 2026 年 11 月 3 日將 WordPress 核心升級窗口的 RCE 漏洞（CVE-2026-119977，CVSS 8.1）列入 Known Exploited Vulnerabilities（KEV）清單，確認已有攻擊者在野利用。據 The Hacker News 轉述，Wordfence 在公開揭露後 21 小時內記錄超過 18,500 次針對性請求，Previdian 蜜罐亦捕獲來自英國 IP 的實際攻擊嘗試。聯邦民間行政部門（FCEB）機構必須在 11 月 6 日前完成修補。
本篇目錄
來源：The Hacker News，2026 年 11 月 4 日
發生了什麼
2026 年 11 月 3 日，美國**網路安全與基礎設施安全局（CISA）**將 WordPress Core 的 CVE-2026-119977 漏洞列入 Known Exploited Vulnerabilities（KEV）清單，正式確認這個漏洞已遭攻擊者在野利用。
這是一個 CVSS 8.1 的 Time-of-check Time-of-use（TOCTOU）競賽條件漏洞（CWE-367），允許未經身分驗證的攻擊者在 WordPress 執行完整套件核心升級時，透過可預測且可從網路存取的暫存路徑執行程式碼。
這不是初次揭露——我們在 2026 年 10 月 30 日的文章中已經報導過這個漏洞的攻擊行為與影響範圍。但 CISA 正式列入 KEV 清單，代表美國政府確認已有實際利用證據，並要求聯邦民間行政部門（FCEB）機構必須在 2026 年 11 月 6 日前完成修補。
漏洞細節：競賽條件與可預測路徑
CVE-2026-119977 的核心問題
受影響版本的 WordPress（4.7 至 7.1.3）在執行完整套件核心升級時，存在可預測且可從網路存取的暫存路徑。攻擊者可以在升級窗口內（a brief window）觸發這些暫存路徑執行程式碼。
修補版本與受影響範圍
WordPress 於 2026 年 10 月 28 日發布修補版本 7.1.4。同時，WordPress 安全團隊也將修補程式回補（backport）至所有仍接受安全更新的舊分支，包括但不限於：
- 4.7.39、4.8.34、4.9.35、5.0.31 至 7.0.8（依 NVD 的完整清單）
- WordPress 官方公告表示回補正陸續推出（The backports are in progress and will ship as they become ready）
實際利用證據：蜜罐捕獲攻擊
Wordfence：21 小時內 18,500 次請求
Wordfence 在漏洞公開揭露後的 21 小時內，記錄超過 18,500 次針對暫存安裝程式路徑（如 setup-config.php）的請求。
截至報導發布時（2026 年 11 月 4 日），據 The Hacker News 報導，過去 24 小時內已攔截 12,632 次試圖利用這個漏洞的攻擊。
Previdian 蜜罐：來自英國的 3 次利用嘗試
Previdian 的遙測數據顯示，其蜜罐系統於 2026 年 10 月 30 日捕獲 3 次利用嘗試，來源 IP 地理位置位於英國。
這些證據共同證實：這個漏洞不只是理論上的風險，而是已經被攻擊者在野利用的實際威脅。
CISA KEV：聯邦機構的修補期限
CISA 將 CVE-2026-119977 列入 KEV 清單後，聯邦民間行政部門（FCEB）機構必須在 2026 年 11 月 6 日前套用修補程式。
CISA 的 KEV 條目還要求機構遵循 BOD 26-04（Prioritizing Security Updates Based on Risk）準則與鑑識分流要求（Forensics Triage Requirements）。
值得注意的是，KEV 條目的 knownRansomwareCampaignUse 欄位標註為 Unknown，代表 CISA 目前尚未確認這個漏洞是否被用於勒索軟體攻擊。
如何偵測與防禦
立即檢查版本並升級
確認所有 WordPress 網站的版本是否已升級至修補版本。如果你的網站執行舊分支（例如 6.9 或 7.0），也應確認是否已升級至對應的修補版本（如 6.9.11、7.0.8）。
檢視日誌尋找攻擊跡象
檢視 web 伺服器日誌，尋找對 setup-config.php 等暫存安裝程式路徑的異常請求。特別注意 10 月 28 日之後執行升級的網站——如果你在那之後升級，而且日誌中有對暫存路徑的可疑請求，代表可能已被攻擊嘗試。
考慮在升級時啟用維護模式
雖然修補版本已經發布，但未來執行升級時，可以考慮啟用維護模式（maintenance mode），減少攻擊窗口暴露的風險。這屬於一般性作法建議，非來自報導的具體建議。
與先前報導的差異
我們在 2026 年 10 月 30 日的文章中報導過這個漏洞，當時的重點是 Wordfence 在 24 小時內攔截 62,969 次攻擊嘗試。
今日報導的關鍵差異：
- CISA 正式確認：漏洞已列入 KEV 清單，美國政府確認實際利用
- 本文補上 CVE 編號：確認為 CVE-2026-119977
- 蜜罐證據：Previdian 蜜罐捕獲來自英國 IP 的 3 次實際利用嘗試
- 修補期限：FCEB 機構有明確的 11 月 6 日修補期限
- 攻擊數據更新：21 小時內 18,500 次請求，24 小時內 12,632 次攔截（與先前報導的 62,969 次數字不同，可能是不同時間區間或統計方式）
你可以學到什麼
站在攻擊者的角度：CISA 已經確認這個漏洞在野利用，代表我有充足的時間和目標。（作者推測）我可能透過持續輪詢暫存安裝路徑，總會碰到有網站正在執行完整套件升級的短暫窗口。據 The Hacker News 轉述，Wordfence 21 小時內記錄 18,500 次請求，24 小時內 12,632 次攔截——這不是我一個人在做，而是整個攻擊社群都在掃描。蜜罐已經抓到英國 IP 的實際利用，代表攻擊鏈已經成熟。我可以在受害伺服器上安裝後門、竊取資料。即使聯邦機構有 3 天修補期限，仍有大量 WordPress 網站沒有這樣的強制要求。
- 01CISA KEV 清單是實際利用的確認：列入 KEV 不是理論風險，而是已有攻擊者在野利用的證據，應視為最高優先度的修補項目。
- 02蜜罐證據證實攻擊鏈成熟：Previdian 蜜罐捕獲來自英國 IP 的實際利用，代表攻擊鏈已經成熟且可重現。
- 03公開揭露後立即遭大規模掃描：據 The Hacker News 轉述，Wordfence 在 21 小時內記錄 18,500 次請求，顯示攻擊者快速將新漏洞納入掃描清單。
- 04競賽條件可能透過持續輪詢利用：報導描述升級窗口為 a brief window，作者推測攻擊者可能透過持續輪詢可預測路徑，總會碰到網站正在升級的時刻。
- 05聯邦機構的修補期限可做企業參考：FCEB 機構有 3 天修補期限，企業可參考同樣的優先度與時間框架。
- 06鑑識分流是 KEV 修補的一部分：CISA 要求遵循鑑識分流要求，代表修補不只是升級，還要檢查是否已被入侵。
- 01CISA KEV（Known Exploited Vulnerabilities）CISA 維護的已知被攻擊漏洞清單，列入此清單的漏洞代表已有實際利用證據，聯邦機構有強制修補期限。
- 02CVE-2026-119977WordPress 核心升級窗口的 TOCTOU 競賽條件漏洞，CVSS 8.1，CWE-367。
- 03TOCTOU（Time-of-check Time-of-use）競賽條件的一種，攻擊者利用檢查與使用之間的時間差進行攻擊。
- 04FCEB（Federal Civilian Executive Branch）美國聯邦民間行政部門，CISA 要求這些機構在 11 月 6 日前完成修補。
- 05BOD 26-04CISA 的 Binding Operational Directive 26-04，要求優先修補基於風險的安全更新。
- 06setup-config.phpWordPress 安裝程式，攻擊者輪詢此檔案試圖在升級窗口內觸發程式碼執行。
全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。
- 檢查所有 WordPress 網站的版本
登入 WordPress 後台 → 控制台，檢視版本號看到什麼代表什麼：確認版本是否為 7.1.4 或對應舊分支的修補版本（如 6.9.11、7.0.8）。若不是，立即升級。 - 檢視 web 伺服器日誌，尋找對暫存安裝路徑的請求
grep 'setup-config.php' /var/log/nginx/access.log 或類似路徑看到什麼代表什麼：若發現異常請求（特別是 10 月 28 日之後執行升級期間），代表可能已被攻擊嘗試。 - 檢查 WordPress 管理員帳號
前往 WordPress 後台 → 使用者 → 所有使用者，篩選「管理員」角色看到什麼代表什麼：確認所有管理員帳號都是授權的，刪除任何不認識的帳號。 - 若網站在 10 月 28 日之後執行過升級，特別檢查升級期間的日誌
grep '28/Oct/2026\|29/Oct/2026\|30/Oct/2026' /var/log/apache2/access.log | grep -E '(setup-config|upgrade)' 或類似指令看到什麼代表什麼：確認升級期間是否有對暫存路徑的異常存取。
如果你管理 WordPress 網站
- 立即升級至修補版本：確認所有網站已升級至 7.1.4 或對應舊分支的修補版本。
- 檢視日誌：尋找對
setup-config.php等暫存路徑的可疑請求，特別是 10 月 28 日之後執行升級的網站。 - 檢查帳號與檔案：確認所有管理員帳號都是授權的，檢查是否有可疑的 PHP 檔案。
- 參考聯邦機構期限：雖然企業沒有強制期限，但可參考 FCEB 機構的 11 月 6 日期限，以同樣的優先度處理修補。
- 遵循鑑識分流：修補不只是升級，還要檢查是否已被入侵，保留日誌以供事後分析。
CISA 已經確認這個漏洞在野利用，蜜罐已經捕獲實際攻擊。今天就修補。
環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 8 分鐘。
來源
- The Hacker News 報導（2026-11-04）
- CISA Known Exploited Vulnerabilities Catalog
- 防暴筆記：WordPress 核心 RCE 漏洞引來 24 小時內 6.3 萬次攻擊（2026-10-30）
本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。
本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。
複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。
預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。
M2 弱點與修補管理 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。
每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。