甫修補的WordPress漏洞9分鐘後即出現嘗試利用活動

上週WordPress開發團隊發布7.1.4版安全更新，總共修補22個資安弱點，然而有資安公司發現，駭客在開發團隊公布相關資訊後，不到10分鐘就試圖利用其中部分的弱點。資安公司Wordfence提出警告，他們在WordPress開發團隊發布公告之後，於9分鐘後首度偵測到遠端程式碼執行（RCE）漏洞CVE-2026-119977的嘗試利用活動，而且，攻擊者反覆對此弱點進行探測，前述公告發布21個小時，已出現超過1.85萬次的相關請求，其中兩個大型攻擊來源，反覆對小型WordPress網站執行約14.5個小時的長時間調查。該公司呼籲，網站管理員儘速套用相關更新因應。

CVE-2026-119977形成的原因，在於WordPress執行完整套件更新時，會將更新檔案解壓縮至特定暫存資料夾。由於該資料夾在部分網站環境中可透過網路直接存取，而且暫存檔案包含WordPress安裝程式，攻擊者便可能在更新過程中，直接向暫存的setup-config.php發出請求，利用安裝檔案的處理程序，取得伺服器程式碼執行能力，CVSS嚴重程度為8.1分。Wordfence強調，雖然利用漏洞難度很高，攻擊者需要事先準備完整的套件更新檔案，並得到PHP暫存資料夾存取權限、掌握可預測或發現的暫存資料夾路徑，同時還需要贏得競爭條件，並擁有足夠的時間，才能完成漏洞利用，然而，該公司指出，攻擊者若是透過自動化反覆執行輪詢工作，就能提升漏洞利用成功的機會，網站管理員不能掉以輕心。