【漏洞预警】WordPress 爆高危漏洞，核心升级的短暂窗口可被用来执行代码（CVE-2026-119977）

发布日期： 2026 年 10 月 31 日
风险等级： 高危（High）
漏洞编号： CVE-2026-119977
涉及镜像： library/wordpress — 轩辕镜像 · Docker Hub
CVSS： 8.1（High，CVSS 3.1）
披露时间： NVD 于 2026 年 10 月 31 日公开收录；镜像 7.1.4 于 2026 年 10 月 29 日推送
相关公告： WordPress 7.1.4 · GHSA-4w3m-c66w-69mg

---

一、漏洞概述

用完整包做核心升级时，WordPress 会把新文件解到 Web 能直接访问的升级临时目录。未登录的人如果在解压还没完成时访问到里面的 PHP，就可以在 Web 进程的权限下执行代码。窗口很短，但是不需要账号。CVSS 3.1 为 8.1。

修复已放进 7.1.4，并回迁到 4.7 起仍在维护的各分支。低于 4.7 的版本不在这份公告的范围内。

---

二、漏洞状态

统计截止： 2026 年 10 月 31 日（UTC+8）

---

三、影响范围

对公网或不可信网络开放的 WordPress。触发点是一次「完整包」核心升级还没结束的那段时间。容器如果把站点目录放在持久卷上，只更换镜像标签不会改写卷里的核心文件。

---

四、修复建议

官方镜像请升到 7.1.4。Apache 用 7.1.4（与 7.1.4-apache 相同）。php-fpm 用 7.1.4-fpm。不要继续使用 7.1.3，也不要把 latest 写进长期配置。

bash
docker pull docker.xuanyuan.run/library/wordpress:7.1.4

bash
docker pull docker.xuanyuan.run/library/wordpress:7.1.4-fpm

还停在旧分支、又不是用这份官方镜像的，按上表升到该分支的安全版。官方镜像没有那些旧标签，容器部署请直接到 7.1.4。

升级之后打开站点里的 wp-includes/version.php，确认 $wp_version 已经是所在分支的安全版。持久卷上的文件若仍是旧版本，需要在卷里完成核心升级，而不是只改 Compose 里的标签。

Docker Hub： wordpress

轩辕镜像： library/wordpress

---

五、临时缓解措施

暂时不能升级时，在反代上拒绝执行升级临时目录里的 PHP：

nginx
location ~* ^/wp-content/upgrade/.*.php$ {
    deny all;
}

其他反代按同样的路径拒绝 PHP。这只盖住升级窗口，不能代替 7.1.4 或所在分支的安全版。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 WordPress 的核心升级。docker pull docker.xuanyuan.run/library/wordpress:7.1.4 覆盖 7.1 线。今天的 latest 与 7.1.4 是同一份镜像，加速拉取 latest 以后可能不再锁定在这个版本。站点核心在持久卷上时，换标签不会自动变成 7.1.4。

配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• WordPress：7.1.4 发行说明
• GitHub：GHSA-4w3m-c66w-69mg
• NVD：CVE-2026-119977
• Docker Hub：wordpress
• 轩辕站内镜像页：library/wordpress

阅读原文

• 轩辕镜像官方博客

---

轩辕镜像安全团队
2026 年 10 月 31 日