研究乌：WordPress 修复安装期间仍可被利用

Picus Security 研究员 Umut Bayram 指出，安装 WordPress CVE-2026-119977 修复（覆盖 WordPress 7.1.4 及旧分支更新）的过程本身仍使用站点上未修补的旧代码解包更新文件，攻击者若恰在窗口期访问临时安装器，可在服务器上执行代码。 他建议在更新前封锁对站点 wp-content/upgrade 目录的网络访问。其中 4.4 至 5.8 版本的旧代码会给该目录名添加随机字符，而 WordPress 4.6 及更早版本已不再获得安全更新，没有修复可用。

AI 根据报道生成 · 48 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。