WordPress 4.7 至 7.1.3 的核心升級機制存在高風險漏洞，未登入者可在完整核心升級期間，透過網路可存取的暫存路徑執行程式碼。管理者應立即確認核心版本；7.1 分支請升級至 7.1.4，其他分支請套用對應的安全回補版本。WordPress 官方公告指出，這次安全更新修補了升級期間可能導致遠端程式碼執行的核心問題。
影響範圍與風險
漏洞編號為 CVE-2026-119977，問題出在 WordPress 核心進行完整套件升級時會產生可由網路存取的暫存路徑。Wordfence 列出的受影響版本涵蓋 4.7.0 至 7.1.3，CVSS 3.1 評分為 8.1，屬高風險；攻擊條件不要求帳號、登入或受害者操作，成功後可在伺服器執行程式碼。Wordfence 漏洞資料也列出各分支修補版本。
美國網路安全暨基礎設施安全局（CISA）在 2026 年 11 月 3 日將此漏洞加入已知遭利用漏洞目錄，表示已有實際利用證據。CISA 的 KEV 欄位將是否用於勒索軟體活動標示為 Unknown，目前不能據此稱勒索軟體攻擊已利用此漏洞。CISA 公告並說明，BOD 26-04 是聯邦民事行政部門機關的強制指令，其他組織可參考其風險排序作法。
管理者現在可以做什麼
先登入 WordPress 後台，開啟「控制台」中的「更新」，記下目前核心版本。若由主機商或維運廠商代管，請對方確認實際版本、修補版本與更新完成時間；WordPress 官方公告建議透過後台更新，7.1 分支可更新至 7.1.4。其他分支的安全修補版本請以Wordfence 受影響與修補版本清單為準。網站維運團隊也可參考本站的漏洞修補告警與責任分派流程及WordPress 核心版本盤點與更新說明建立更新紀錄。
若網站在漏洞修補前曾進行完整核心升級，或曾長時間停留在受影響版本，請檢查管理員帳號、網站檔案與主機存取紀錄是否有異常，並請主機商或維運人員協助判斷是否遭植入未授權程式。若發現異常，先保留紀錄供鑑識並限制受影響系統的公開存取，再依應變流程處理。CISA 的風險排序指令及實施指引要求所屬聯邦機關評估資產網路曝露、優先修補已遭利用項目，並依指引執行鑑識分級；雲端服務也應依該指引確認責任與處置方式。若沒有可行緩解措施，相關指引要求評估停用產品。這些 BOD 要求直接適用於指定的美國聯邦機關，台灣網站管理者可將其作為風險盤點參考。
常見問題
哪些 WordPress 版本受影響？
WordPress 4.7.0 至 7.1.3 受此核心升級漏洞影響。4.7 至 7.1 各分支的修補版號不同，請依目前版本核對受影響與修補版本清單。
WordPress 7.1 要更新到哪個版本？
7.1 分支應更新至 7.1.4 或更新版本。較舊分支請依官方安全更新公告及分支修補清單安裝對應版本，不能只以 7.1.4 作為所有網站的目標。
更新後還要檢查網站是否遭入侵嗎？
若網站曾在受影響版本期間進行完整核心升級，建議檢查管理員帳號、檔案與主機紀錄是否異常。發現可疑變更時，保留紀錄並請維運人員協助鑑識，單看目前版本已更新無法確認過去是否曾遭利用。
