WordPress 在 10 月 28 日釋出 7.1.4 安全更新，一次修補 22 個漏洞，其中最危險的是「核心更新時的競態條件（race condition）」，可能讓未登入的攻擊者在網站更新的短暫空檔執行程式碼。資安公司 Wordfence 表示，修補釋出後 24 小時內就擋下 62,969 次針對此漏洞的攻擊嘗試。自架 WordPress 的站長請立即更新。
事件經過
- 10 月 28 日：WordPress 釋出 7.1.4，並同步替 4.7 以來的舊分支推出修補版。
- 漏洞影響 WordPress Core 4.7 至 7.1.3，CVSS 8.1，目前沒有 CVE 編號。
- 成因：完整套件（full-package）核心更新時，新檔案會解壓到
wp-content/upgrade底下可預測的暫存目錄，其中包含 WordPress 安裝程式；若該目錄可從網路直接存取，攻擊者在剛好的時間點請求安裝程式，就可能進一步執行 PHP 程式碼。 - Wordfence 觀察到攻擊來源反覆輪詢
setup-config.php等路徑，其中兩個最大來源對少數網站連續輪詢約 14.5 小時，想抓住更新的那幾秒空檔。
重點
| 項目 | 內容 |
|---|---|
| 受影響版本 | WordPress 4.7～7.1.3 |
| 修補版本 | 7.1.4；舊分支如 7.0.8、6.9.11、6.8.12 等 |
| 攻擊條件 | 正在進行完整套件核心更新、暫存目錄可從外部存取並能執行 PHP、路徑可預測、清理前時間足夠 |
| 已觀察到的攻擊 | 24 小時內 62,969 次攻擊嘗試（Wordfence 統計）；報導未證實有成功入侵案例 |
| 同批修補 | 另有多個 XSS、資訊洩漏問題，以及因 eMudhra 憑證撤銷而更新內建根憑證 |
- 這個漏洞的時間窗在實驗室中只有幾秒，但攻擊者用「持續輪詢」來提高命中機率，越晚更新、越常做大版本更新的網站，越危險。
- WordPress 官方提醒，只有最新版本才會持續獲得完整支援；4.6 以前已不再提供安全更新。
對你的實務建議
企業／IT 管理者
- 立即將所有 WordPress 站台更新到 7.1.4，或該分支的最新修補版；用代管服務的，請向業者確認已完成更新。
- 在 Web 伺服器層面封鎖對
wp-content/upgrade/的外部存取，並禁止該目錄執行 PHP（Nginxlocation規則或 Apache.htaccess）。 - 檢查存取日誌：是否有對
wp-content/upgrade下 PHP 檔（如setup-config.php）的異常請求。 - 檢查是否出現陌生的管理員帳號、外掛或 PHP 檔案，有疑慮就從乾淨備份還原並更換所有密碼與金鑰（含
wp-config.php的 salts）。 - 注意：Patchstack 指出，被解壓的暫存副本會載入自己的檔案，網站內的 PHP 防火牆外掛不會生效，必須在 Web 伺服器或前端 WAF 層阻擋，並確認該目錄無法被列出（directory listing）。
- 同批修補的漏洞大多需要「投稿者（Contributor）以上」帳號才能利用，順便清查誰擁有這些權限。
一般用戶
- 自己有部落格、社團網站或小店網站用 WordPress 的，登入後台「控制台 → 更新」確認版本是 7.1.4。
- 如果是請朋友或接案工程師架的站，請直接問對方是否已更新，不要假設「應該會自動更新」。
- 網站管理帳號一律開啟兩步驟驗證，並移除不用的外掛與佈景主題。
發表留言