一句话先说清：升级那几秒钟的窗口，就是攻击面
WordPress 核心漏洞 CVE-2026-119977 在 2026 年 11 月 3 日进了 CISA KEV，CVSS 8.1。这是核心升级过程里的 TOCTOU 竞态：完整升级时，WordPress 会把新版解压到 wp-content/upgrade/ 下的暂存目录，几秒钟的窗口期内，未登录攻击者如果找到它就可能执行代码。本文只讲防御：影响范围、修复版本与自查步骤，不涉及任何利用细节。
影响范围与修复版本
影响 4.7 到 7.1.3，修复是 7.1.4 以及各分支回溯版（最低到 4.7.39）。自 10 月 28 日起已有探测：首 21 小时超 1.85 万次针对暂存安装路径的请求，24 小时内一家厂商报告拦截 6.29 万次；但目前还没有公开确认的实际接管案例。探测多不等于接管已发生，但窗口真实存在，升级过程中的站点就是暴露的。
光打补丁不够：CISA 标注了法医排查
CISA 在收进 KEV 的同时标注了法医排查，意思是受影响站点光打补丁不够，还要查入侵痕迹。道理很简单：如果攻击者已经在升级窗口期内得手，事后升级并不会清除已经留下的后门或新增的管理员账号。
自查清单
- 先确认版本：低于 7.1.4 的立即升到 7.1.4 或所在分支的回溯版，老分支最低到 4.7.39。
- 再查升级窗口期的痕迹：检查 wp-content/upgrade/ 下是否残留异常文件，核对管理员账号、新增插件与主题、定时任务是否有非预期的条目。
- 升级操作本身也要注意：尽量在低峰期、尽快完成升级，减少暂存目录暴露的窗口；升级后确认暂存目录已清理。
- 发现可疑痕迹的，按“已被入侵”处理：下线排查、轮换全部管理员与数据库凭据、从干净备份恢复，不要只靠升级收尾。
- 托管用户注意：托管建站与云平台一般由平台统一修复，到平台公告里确认状态即可。
最后澄清一个常见误读：KEV 里 11 月 6 日的期限只针对美国联邦机构，不是所有用户的统一期限；但“已被实际利用”这个定性本身，就是立即升级的理由。