WordPress 漏洞懶人包：CVE-2026-119977 已遭利用，企業網站該怎麼檢查
這次的 WordPress 漏洞，是 WordPress 在 2026 年 10 月 28 日發布 7.1.4 修補的一批弱點，其中 CVE-2026-119977 可能讓未登入的攻擊者在網站更新期間執行程式碼，美國 CISA 已在 11 月 3 日將它列入「已知遭利用漏洞」清單。使用 WordPress 4.7 至 7.1.3 的企業網站，都應立即確認版本。
許多企業官網與電商網站都架在 WordPress 上，而且常交給外部廠商維護，出事前沒有人確定目前是哪個版本。以下整理時間軸、需要更新的版本、該檢查的項目，以及要問維護廠商的問題（資訊截至 2026 年 11 月 4 日）。若想確認對外網站還有哪些未修補的弱點，可參考我們的弱點掃描服務。
WordPress 漏洞事件經過：時間軸
這起事件的特點是攻擊來得很快：修補公告發布後幾分鐘內就有人開始嘗試，不到一週就被 CISA 認定已遭利用。
| 日期（2026 年） | 事件 | 來源 |
|---|---|---|
| 10 月 28 日 | WordPress 發布 7.1.4 安全更新，並同步提供 4.7 以上各分支的修補版本 | WordPress.org |
| 10 月 28 日 | 公告發布 9 分鐘後，Wordfence 偵測到首次嘗試利用；21 小時內累積超過 1.85 萬次相關請求 | iThome 引述 Wordfence |
| 11 月 3 日 | CISA 將 CVE-2026-119977 列入 KEV 清單，要求美國聯邦機關在 11 月 6 日前處置 | CISA KEV |
7.1.4 不是只修一個問題。官方公告列出更新流程的遠端程式碼執行、多個儲存型 XSS，以及未登入者可能找到未發布的自訂器變更等弱點；iThome 報導總數為 22 個。
CVE-2026-119977 怎麼運作？為什麼評分差這麼多
CVE-2026-119977 是更新流程中的競爭條件漏洞：WordPress 進行完整套件更新時，會把檔案解壓縮到路徑可預測的暫存資料夾，若該資料夾可從網路存取，攻擊者就可能趁更新的短暫時間，呼叫其中的安裝程式並執行程式碼。
它的評分有落差。Wordfence 給出 CVSS 8.1；資安業者整理指出，WordPress 官方則評為低風險，因為攻擊者必須剛好在更新期間命中，還要符合多項條件，利用難度確實很高。但 Wordfence 也提醒，攻擊者可以用自動化工具反覆輪詢來提高成功率，CISA 又已列入 KEV，企業不宜因為「難度高」就延後處理。
哪些 WordPress 版本要更新？修補版本對照
WordPress 4.7 至 7.1.3 都在受影響範圍內，官方已把修補回溯到 4.7 以上的所有分支。下表依 WordPress 版本發布頁整理各分支的修補版本，低於這些版本就應更新。
| 目前分支 | 更新至（或以上） |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.6 | 6.6.11 |
| 4.7 至 6.5 | 該分支 2026 年 10 月 28 日發布的版本，例如 6.5.14、5.9.20、4.7.39 |
要注意的是，官方明白表示只有最新版本才獲得完整支援。還停在舊分支的網站雖然拿得到這次修補，仍應排定升級，舊版佈景主題與外掛的相容性問題拖得越久越難處理。
企業該檢查的 6 件事
以下是 IT 或網站負責人今天就能做完的檢查，其中第 3 項是資安業者提出的緩解建議，官方修補仍是首選：
- ☐ 登入後台「控制台 > 更新」確認版本，低於上表就立即更新，更新前先備份。
- ☐ 列出公司所有 WordPress 網站，包括活動網站、舊官網與測試站，這些最常被遺忘。
- ☐ 在網頁伺服器封鎖外部對
wp-content/upgrade/的存取。 - ☐ 確認主機的 PHP 也已更新，這批工作可一併對照 PHP 漏洞的修補版本。
- ☐ 更新外掛與佈景主題，移除沒有在用的項目。
- ☐ 檢查管理員帳號清單與近期異動的檔案，確認沒有不明帳號或陌生的 PHP 檔。
實務上最常見的漏網之魚是第 2 項。行銷活動結束後留下的舊站沒有人維護，版本停在好幾年前，卻仍掛在公司網域下。把所有網站列入資產清冊，納入修補管理的時限，下次才不必臨時盤點。
網站委外維護，要問廠商哪些問題？
網站交給廠商維護，不代表資安責任也一起轉出去。網站若蒐集客戶表單或會員資料，發生事故時，企業仍是對當事人負責的一方，所以至少要向廠商確認下列事項。
請廠商以書面回覆四件事：目前核心版本與更新日期、外掛與佈景主題多久更新一次、有沒有定期備份並測試過還原、發生資安事件時多久內通知貴公司。如果廠商答不出版本號，或維護合約根本沒有寫更新責任，就該趁這次把合約補齊。
對企業的影響：更新速度要快過攻擊者
這次 WordPress 漏洞對企業最直接的提醒，是攻擊者已經能在修補公告後幾分鐘內開始行動。靠每季才看一次的維護節奏，風險會明顯高於攻擊者的速度。
一般企業網站不必每天盯公告，但應做到三件事：確認核心安全更新能自動套用、對外網站定期以弱點掃描檢查，以及指定一位負責人接收原廠安全公告。網站若曾遭入侵且涉及個資，還要依個資法第 12 條查明後通知當事人。想請人協助盤點對外網站的風險，可以直接與顧問聊聊貴公司的狀況。
WordPress 漏洞常見問題
開了自動更新就安全了嗎？
大致可以降低風險，但仍要確認。官方表示支援自動背景更新的網站會自動開始更新，不過主機環境、權限或設定都可能讓更新失敗。請登入後台確認版本確實已是修補版本；外掛與佈景主題的更新設定通常是分開的，也要另外檢查。
外掛也要更新嗎？
要。7.1.4 修補的是 WordPress 核心，外掛與佈景主題各有自己的弱點與更新。實務上，WordPress 網站被入侵常是從過時外掛開始，所以更新核心時應一併檢查，沒有在用的外掛直接移除，不要只停用。
怎麼知道網站有沒有被入侵？
先看三個地方：管理員帳號清單有沒有不明帳號、網站目錄有沒有近期新增的陌生 PHP 檔案、存取紀錄有沒有對 wp-content/upgrade/ 的異常請求。發現異常時先保留紀錄再處理，必要時請資安人員協助鑑識，不要直接覆蓋檔案。
參考資料
- WordPress 7.1.4 – 官方安全更新公告與修補項目。WordPress.org · 2026 年 10 月 28 日
- Release Archive – 各分支修補版本與發布日期。WordPress.org
- Known Exploited Vulnerabilities Catalog – CVE-2026-119977 於 11 月 3 日列入，處置期限 11 月 6 日。美國 CISA
- 甫修補的WordPress漏洞消息公布，9分鐘後隨即出現嘗試利用活動 – Wordfence 觀察到的嘗試利用活動與漏洞成因。iThome · 2026 年 11 月 3 日
