WordPress 核心升級視窗漏洞 CVE-2026-119977 已在 2026 年 11 月 3 日被 CISA 加入已知遭利用漏洞目錄（KEV）。它是 10 月 28 日發布的 WordPress 7.1.4 已修補問題，這次的新進展是利用風險獲官方確認。尚未更新的網站應優先處理；已更新的網站，也應核對更新完成時間與先前可疑活動。
列入 KEV 後，不能只看版本號
CISA 目錄除了列出 11 月 6 日的處置日期，亦將此項標為需要鑑識初步檢查。相關聯邦處置要求有其適用對象，一般站長不應把該日期當成可以安心等待的期限。修補能移除漏洞行為，但不會自動清除更新前已留下的惡意檔案或帳戶。
KEV 是已遭利用的漏洞清單，不代表每個安裝 WordPress 的網站都已入侵。Wordfence 先前觀察到針對升級暫存路徑的持續探測；請求或攔截數量也不能直接換算成成功入侵的網站數。
漏洞需要撞上完整核心更新的短暫窗口
這項競態問題涉及完整核心套件解壓時的暫存副本。攻擊者需要知道或猜中暫存路徑，該路徑可從公開網路存取並執行 PHP，還要在清理前完成攻擊。平常頁面能開啟，或網站剛好正在更新，都不足以單獨證明漏洞已被利用。
因此，不應為了避開升級窗口而一直延後安全更新。若維護者能控制主機，可先核對升級暫存目錄的公開存取與 PHP 執行限制，再依正常流程更新；不要讓臨時防護設定成為長期不修補的理由。
核對對應支線的修補版本
| 支線範例 | 本項修補版本 |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
表格只列部分支線。官方為較舊支線提供回移修補，並不表示所有舊版都受長期完整支援；WordPress 說明只有最新版本獲積極支援。仍停留舊版的網站，應請維護者核對該支線的確切安全版本及後續升級安排，而不是只比較是否低於 7.1.4。
請維護者交回更新與檢查結果
先保存網站檔案、資料庫與可用紀錄，再完成核心更新並確認實際運行版本。檢查重點包括升級暫存目錄的異常 PHP 請求、非預期核心修改、不明管理員、外掛及 PHP 檔案；若紀錄顯示可疑活動，保留時間與原檔供調查，避免只刪檔便當作處理完畢。
使用 Wordfence 的網站還要核對防火牆是否採用 Extended Protection。此路徑可能直接請求 PHP 檔而不先載入 WordPress，只看到外掛已啟用不足以判定防護生效。原廠公告列出 Premium、Care、Response 在 10 月 28 日取得本項規則，免費版要到 11 月 27 日；啟用 Extended Protection 也不代表已收到這項規則。防火牆與掃描可以協助防護和調查，仍需安裝核心修補；單次掃描沒有發現，也不能代替紀錄檢查。
資料核對日期：2026 年 11 月 5 日。本文追蹤 11 月 3 日 KEV 新進展，非宣稱漏洞或修補於今日首次發布。封面為 AI 生成的概念插畫。
