WordPress 7.1.4 修复22个漏洞，RCE 数小时后遭利用
先了解这件事
WordPress 于 2026 年 10 月 28 日发布 7.1.4 版本，修复 22 个安全漏洞，其中包括更新流程中一个无需认证的远程代码执行（RCE）漏洞。该漏洞影响 WordPress Core 4.7 至 7.1.3，CVSS 评分为 8.1，利用竞态条件，攻击者无需 WordPress 账户，但需在数秒的更新窗口内访问公开的 wp-content/upgrade/ 目录；Patchstack 评估其利用难度较高，因为可乘之机仅持续数秒。补丁发布数小时后，该漏洞已遭黑客积极利用。 同批修复还包括存储型 XSS、数据泄露与权限问题。WordPress 仅对最新版本提供持续安全支持，4.6 及更早版本不再收到安全更新。开启自动后台更新的站点应会自动收到该版本，但站长仍需确认已安装版本，而非默认更新已完成。 Wordfence 的防护规则已向 Premium、Care 和 Response 客户即时推送，免费用户则排期于 2026 年 11 月 27 日获得。
AI 根据报道生成 · 3 小时前更新
事件进展
2 个进展
- 10月30日 06:05 · 2 篇报道WordPress RCE 漏洞补丁发布数小时后遭在野利用Cyber Security News：WordPress 远程代码执行漏洞在补丁发布数小时后遭积极利用
- 10月29日 10:31 · 1 篇报道WordPress 7.1.4 修复22个安全漏洞Cyber Security News：WordPress 7.1.4 修复 22 个安全漏洞，含无需认证的 RCE 漏洞
报道时间线
沿着报道，了解事件的不同侧面。
- Cyber Security NewsWordPress 远程代码执行漏洞在补丁发布数小时后遭积极利用
WordPress Core 4.7 至 7.1.3 版本存在一个 CVSS 8.1 的远程代码执行漏洞，WordPress 于 10 月 28 日发布 7.1.4 版本修复，但数小时后即遭黑客积极利用。
- FreeBufWordPress远程代码执行漏洞遭利用，补丁发布仅数小时即现攻击
WordPress修复未认证远程代码执行（RCE）漏洞的补丁发布仅数小时就遭攻击者利用，站点管理员需尽快升级并排查入侵风险。
- Cyber Security NewsWordPress 7.1.4 修复 22 个安全漏洞，含无需认证的 RCE 漏洞
WordPress 于 10 月 28 日发布 7.1.4 版本，修复 22 个安全漏洞，包括更新流程中一个无需认证的远程代码执行（RCE）漏洞，该漏洞利用竞态条件，攻击者需在数秒的更新窗口内访问 wp-content/upgrade/ 目录。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。