WordPress 核心升级窗口被利用：wp-content/upgrade 目录成了入口

CVE-2026-119977，CVSS 8.1，10 月 31 日公开，已发现在野利用。影响百万级站点，毕竟 WordPress 支撑着全球约 43% 的网站。

成因

完整包核心升级时，升级程序把更新包解压到 wp-content/upgrade/ 下基于包名生成的可预测、Web 可访问的临时目录，相关代码在 class-wp-upgrader.php、class-core-upgrader.php、update-core.php 里。临时目录中包含安装程序 setup-config.php，在升级窗口期可被外部 HTTP 请求直接执行。

三个利用条件

正在执行完整包核心更新、暂存目录可公开访问、暂存路径可预测。三条同时满足才能打，所以攻击是机会型的，需要盯着升级动作。

攻击者做什么

在升级窗口内用竞争条件注入恶意配置，最终实现任意代码执行。

处置建议

尽快升级到已修复版本；无法立即升级的，用 Web 服务器规则阻断对 wp-content/upgrade/ 下 PHP 文件的直接访问；升级操作改到维护窗口执行并有人值守；事后查 wp-content/upgrade 与 wp-config.php 的变更记录，以及是否有异常的管理员账号被创建。

更普遍的一条

可预测的临时目录加上可执行权限，是 CMS 类系统的老问题。任何自动更新机制都该检查这两点：路径是否可猜、目录是否在 Web 根下。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

可预测的临时目录加上 Web 可访问，这两个条件凑一起就是事故。我们站已经加了规则阻断该目录下的脚本，升级也挪到维护窗口了。