美国网络安全与基础设施安全局 (CISA) 向联邦机构发布紧急警告，称监测到 WordPress 内容管理系统中存在一个高危安全漏洞正被积极利用。该漏洞编号为 CVE-2026-119977，属于“远程命令执行”(RCE) 类漏洞，使攻击者能够控制目标服务器。
该漏洞源于 WordPress 核心更新过程中存在的一种名为“竞态条件”(Time-of-check Time-of-use - TOCTOU) 的技术缺陷。攻击者利用系统完整包升级过程中可通过 Web 访问的临时路径，从而在高度复杂的环境中执行恶意代码。
官方行动与攻击升级
基于此威胁，CISA 已将该漏洞列入“已知被利用漏洞”(KEV) 目录，并发布了强制指令 (BOD 26-04)，要求联邦民事机构在下周五之前完成系统加固。尽管该指令仅对美国政府机构具有约束力，但该机构敦促全球私营部门的网络管理员优先并立即更新其系统。
现场数据显示了攻击规模的升级；安全公司 Wordfence 报告称，在监测到该活动后的 24 小时内，他们已拦截了超过 13,095 次针对该漏洞的攻击。
实际影响是什么？
该漏洞的真正危险在于其绕过传统安全屏障的能力；攻击者无需拥有任何账户或预先访问权限即可执行命令。此外，利用“更新窗口”使得发现可疑活动变得困难，因为它发生在系统的日常维护过程中。
此威胁是在近期针对 WordPress 的一系列漏洞背景下出现的，例如去年 9 月被利用的 wp2shell 系列漏洞，该漏洞导致超过 18,500 条属于小型企业和政府组织的数据记录被窃取。为避免这些风险，所有网站管理员必须立即升级到 WordPress 7.1.4 或包含安全修复程序的更高版本。