
【漏洞预警】WordPress 爆高危漏洞,核心升级的短暂窗口可被用来执行代码(CVE-2026-119977)
WordPress 在做完整包核心升级时,会把新包解到 Web 能访问到的临时目录。未登录的人如果在这个窗口里访问到里面的 PHP,就可以在 Web 进程权限下执行代码(CVE-2026-119977,CVSS 3.1 为 8.1)。7.1 线请升到 7.1.4,更早分支有各自的回迁安全版。官方镜像请固定 wordpress:7.1.4;用 fpm 的固定 7.1.4-fpm。今天的 latest 与 7.1.4 是同一份镜像。站点文件在持久卷上时,只改镜像标签不会更新核心,要核对 wp-includes/version.php。
2026/10/31Docker漏洞预警4 次阅读
WordPressCVE

