WordPress 核心远程代码执行漏洞遭利用，单日攻击尝试近6.3万次

安全厂商 Wordfence 披露，WordPress 核心存在一个可被未授权攻击者利用的远程代码执行漏洞，影响 4.7 至 7.1.3 版本，CVSS 评分为 8.1。相关补丁已于 2026 年 10 月 28 日发布，但攻击者随即开始探测并尝试利用该漏洞。

Wordfence 表示，在补丁发布后的一天内，其已拦截 62969 次针对该漏洞的恶意尝试，并建议站点管理员尽快升级至 7.1.4 版本。

漏洞成因

Wordfence 团队指出，该漏洞的根源在于 WordPress 执行完整核心升级时使用的暂存路径可被预测，并且能通过 Web 直接访问。受影响版本在升级过程中会把新文件解压到名为 wp-content/upgrade 的目录，而 WordPress 安装程序也存放在该目录中。

由于许多服务器上的这个暂存目录可以通过 Web 访问，未授权攻击者可以在合适的时机请求该目录下的安装程序，与暂存中的 WordPress 实例交互，进而推进到 PHP 代码执行。Wordfence 威胁响应团队负责人 Alex Thomas 对此作了说明。

该漏洞没有分配 CVE 编号，CVSS 评分为 8.1，影响 WordPress 核心 4.7 至 7.1.3 版本。

按照 Wordfence 的说法，成功利用该漏洞需要攻击者抓住一个转瞬即逝的窗口，即 WordPress 正在解压完整核心更新的时刻。这一利用依赖竞态条件，攻击者必须在临时文件被清除之前完成操作。

具体而言，需要同时满足几项条件：更新为包含安装程序文件的完整包更新；暂存目录可通过 Web 和 PHP 公开访问；暂存路径可预测或已被攻击者确定；并且攻击者有足够时间在 WordPress 清理临时文件前完成利用。

在受控的实验环境中，这一时间窗口通常只有数秒。但攻击者已被观察到持续轮询 setup-config.php 等易受攻击的路径，试图捕捉这一短暂机会。

Thomas 介绍，有两个主要来源在约 14.5 小时的较长时间内持续轮询小范围站点的相关路径，这一模式表明它们在试图捕捉短暂的升级窗口。此外，还有其他来源尝试了不同的暂存目录布局和版本名称。

他补充说，虽然并非每次探测请求都针对准确的易受攻击路径，但长时间的轮询和对目录布局的细致探查说明，攻击者很快理解了这一竞态条件，并开始有针对性地发起攻击。

鉴于漏洞正处于活跃利用状态，WordPress 站点管理员被强烈建议尽快升级至 7.1.4 版本。该版本共修复了 22 个安全问题，其中就包括这个未授权远程代码执行漏洞。

除升级外，管理员还应警惕针对 wp-content/upgrade 目录下 PHP 文件的可疑请求，并检查是否存在陌生的管理员账户、插件或 PHP 文件，以便及时发现可能的入侵痕迹。