WordPress在2026年10月28日釋出的7.1.4，修補了一個「核心更新過程中的競態條件」漏洞(CVE-2026-119977)，美國CISA已在11月3日將它列入已知遭利用漏洞(KEV)目錄。這個WordPress更新漏洞特別的地方在於：攻擊發生在網站「正在更新」的那幾秒，而且從舊版升級到修補版的那一次，跑的仍是舊的更新程式。還沒更新的網站，應先封鎖/wp-content/upgrade/的網頁存取再更新；已經更新的網站，建議回頭檢查更新當下的紀錄。
我們KYART光沅創意在10月底整理過7.1.4的22項修補，這篇是後續：漏洞確認遭到利用之後，維運上要多做哪幾步。
這個WordPress更新漏洞是什麼？
簡單說，是更新流程把新檔案解壓到一個「猜得到、又能從網路直接連到」的暫存目錄。WordPress官方在GitHub安全公告中說明，以完整安裝包更新核心時，新檔案會被解壓到網站可公開存取的upgrade資料夾內的可預測路徑；未登入的攻擊者若在解壓與清除之間搶先存取其中的安裝程式，就可能遠端執行程式碼。
- 受影響範圍：WordPress 4.7至7.1.3(各分支有各自範圍)
- 修補版本：7.1.4，以及回溯的7.0.8、6.9.11、6.8.12、6.7.11，一路到4.7.39
- 評分落差：WordPress官方公告評為「低」，Wordfence的CVE紀錄給CVSS 8.1(高)，攻擊複雜度高
官方與資安廠商的評分差距不小，但CISA列入KEV的依據是「已有實際利用證據」，不是嚴重度分數。對維運團隊來說，後者才是調整優先順序的訊號。
為什麼「更新到7.1.4」那一次也有風險？
因為執行這次更新的，是網站上那份還沒修補的舊更新程式。根據研究者與資安媒體的整理，修補版改用隨機的暫存目錄名稱，但從受影響版本升級時，解壓動作仍由舊程式碼完成，而5.9以後版本的暫存目錄名稱可由下載檔名推測。換句話說，修補要等升級完成後才生效，升級那一刻本身仍是窗口。
Wordfence也觀察到，有來源對少數網站長時間反覆探測，等的就是更新那幾秒。同一份報導提醒，WP-CLI的wp core update用的是同一套更新程式，不能當成替代方案。
更新是修補漏洞的手段，但更新的那幾秒，本身也是需要被保護的維運作業。
還沒更新的網站，現在該怎麼做？
先在網頁伺服器層擋住upgrade資料夾，再更新。WordPress寫入這個資料夾走的是檔案系統，不經過網址，所以封鎖網頁存取不會影響更新本身。
- Nginx：
location ^~ /wp-content/upgrade/ { deny all; } - Apache：在該資料夾的
<Directory>區塊設定Require all denied；只能用.htaccess的主機，可在WordPress改寫規則之前加上RedirectMatch 403 ^/wp-content/upgrade/ - 不要把.htaccess放進upgrade資料夾，舊版更新程式會清空該目錄內容
- 先確認
/wp-content/upgrade/回應403，再執行更新 - 更新後確認版本為所屬分支的修補版
規則上線前，建議先在測試環境跑一次，確認不會擋到其他維運流程。
已經自動更新的網站，還需要做什麼嗎？
需要，至少回頭檢查一次更新時段的紀錄。修補只會關掉之後的路徑，不會清掉更新前後可能已經發生的事。建議檢查：
- 存取紀錄中，是否有指向
wp-content/upgrade/底下PHP檔的異常請求 - upgrade資料夾內是否有沒人放過的PHP檔
- 是否出現陌生的管理員帳號或外掛
- 以
wp core verify-checksums比對核心檔案；它只涵蓋核心，不代表外掛、佈景主題與上傳目錄都乾淨
若發現可疑跡象，先保留紀錄與環境副本、限制存取，再輪替帳密與金鑰，並從確認乾淨的備份還原。
我們怎麼做：把「更新」寫成一段有前後檢查的作業
這是CISA自7月以來列入KEV的第四個WordPress核心漏洞，頻率已經高到不能只靠「看到公告再處理」。我們KYART光沅創意在網站與系統代管維運上，會把核心更新從一顆按鈕，拆成有前後檢查的流程：
- 伺服器層預設封鎖upgrade等暫存目錄的網頁存取，不等漏洞出來才補
- 對外官網、電商與內部資訊系統分批更新，集中更新時段，事後比對紀錄
- 部署在AWS或GCP的站台，搭配WAF規則與集中式日誌，讓「更新前後有沒有異常」查得到
- 有客製外掛或前後台整合的系統，再搭配源碼弱點掃描，確認風險不只停在核心
常見問題
Q：網站有開自動更新，還需要手動處理嗎？
A：自動更新多半已讓網站到達修補版，但自動更新同樣使用舊的更新程式，建議回頭檢查更新時段的紀錄。
Q：版本號比7.1.4低，就一定沒修補嗎？
A：不一定。舊分支有各自的修補版，例如6.8分支是6.8.12，請以所屬分支的版本為準。
Q：WordPress 4.6以前的網站怎麼辦？
A：官方已不再提供安全更新，應盡快規劃升級到受支援的版本。
漏洞會一直出現，能累積的是流程：知道什麼時候更新、更新時誰在看、更新後查什麼。這三件事做穩了，下一則公告來的時候，就只是一張照表操課的工單。
參考資料：
WordPress 7.1.4版本說明(wordpress.org)
WordPress安全公告GHSA-4w3m-c66w-69mg(github.com)
Known Exploited Vulnerabilities Catalog(cisa.gov)
CVE-2026-119977(nvd.nist.gov)
Hardening WordPress(developer.wordpress.org)
Installing the Fix for an Exploited WordPress Flaw Can Expose Some Sites One Last Time(thehackernews.com)
