⚠️警报：黑客正将目标转向 WordPress，这款软件支撑着全球 39.5% 的网站。 一个严重的漏洞使得攻击者能够在 WordPress 网站更新的几秒钟内，无需登录即可控制该网站。 在完整更新过程中，WordPress 会将安装程序短暂地部署在一个公共文件夹中，任何在此期间访问该文件夹的人都可以在服务器上运行恶意代码。 该漏洞影响 WordPress 4.7 至 7.1.3 的所有版本，涵盖近十年来自 2016 年 12 月以来的所有版本。 目前的情况： 安全公司 Wordfence 发现了该漏洞，其编号为 CVE-2026-119977。 Wordfence 的防火墙在保护措施生效仅 9 分钟后就拦截了第一次攻击。 漏洞公开后的 21 小时内，Wordfence 检测到超过 18,500 次攻击尝试。 一些攻击者花费了约 14.5 小时反复检查少量网站，等待在网站更新过程中发起攻击。 Wordfence 在 24 小时内拦截了 12,632 次攻击尝试。 11 月 3 日，美国网络安全和基础设施安全局 (CISA) 确认了正在发生的攻击，并命令联邦机构在 11 月 6 日前修复漏洞。 正在采取的措施： WordPress 已发布所有受影响分支的修复版本，包括 7.1.4。 Wordfence 正在使用防火墙规则拦截攻击。 Wordfence 敦促网站所有者尽快更新，并表示他们可以在更新前阻止访问 /wp-content/upgrade/ 目录下的 PHP 文件，以提供额外保护。 如果您运行的是 WordPress 网站，请立即更新，并尽可能先采取上述预防措施。