WordPress 修复被利用漏洞期间仍可被攻击：更新前需封锁 wp-content/upgrade 目录
Installing the Fix for an Exploited WordPress Flaw Can Expose Some Sites One Last Time
AI 导读
Picus Security 研究员 Umut Bayram 指出，安装 CVE-2026-119977 修复（WordPress 7.1.4 及旧分支更新）的过程本身仍用旧代码解包文件，攻击者可在窗口期访问临时安装器在服务器上执行代码。
推荐理由
指出修补本身存在最后窗口期这一易被忽略的部署风险，并给出更新前封锁 wp-content/upgrade 目录的具体配置步骤，对运维 WordPress 的个人和小团队有直接操作价值。
来源：The Hacker News · thehackernews.com