CISA列WordPress漏洞為遭利用風險　網站管理員應即時核查核心更新

美國網絡安全及基礎設施安全局（CISA）於11月3日把WordPress核心漏洞CVE-2026-119977加入「已遭利用漏洞」名單，表示已掌握漏洞正被積極利用的證據。香港採用WordPress的中小企、網店及機構網站，同樣應把核心更新列為優先事項，尤其是由第三方代管、日常較少登入管理後台的網站。

不過，CISA要求美國聯邦機構在11月6日前修補，是其聯邦體系內的期限，並非香港機構的法定要求。這項公告的本地意義，在於它為漏洞已進入實際攻擊階段提供了明確風險訊號，而非設定一條可照搬的合規死線。

漏洞影響在於攻擊窗口正在縮短

iThome報道指出，CVE-2026-119977屬於檢查時間與使用時間（TOCTOU）的競爭條件漏洞，位於WordPress核心。

Wordfence則表示，曾觀察到大規模嘗試利用的跡象，並稱攻擊者利用漏洞所需時間已由數小時至數天，縮短至遠低於一小時；WordPress開發團隊發布公告後不足10分鐘，該公司已偵測到首次嘗試利用活動。這是Wordfence的觀察，iThome的報道亦沒有列出受害網站數量、入侵後果或攻擊者身分，因此不宜把它延伸解讀為所有未更新網站均已失陷。

管理員現時應做甚麼

網站管理員可先完成以下工作：

• 在WordPress管理後台或主機維護工具確認目前核心版本，並依WordPress已發布的安全更新升級至已修補版本。
• 為多站點、代管或有變更審批流程的環境，先確認備份及更新相容性，但不應無限期延後安全更新。
• 檢視管理員帳戶是否出現不明新增、權限改動或異常登入；同時核對近期新增或被修改的外掛與佈景主題。
• 保留並檢查web server、WordPress及主機層面的紀錄，留意更新公告前後的異常請求、檔案改動或登入活動。

從風險管理角度看，這宗事件提醒網站營運者，核心更新不應只被當成例行維護。當CISA已確認存在積極利用，而Wordfence又指利用速度加快，未修補網站暴露於網上的時間便更值得壓縮。下一步應持續留意WordPress的修補資訊，以及主機與保安監察紀錄有否顯示異常。

延伸閱讀

• WordPress 核心漏洞已有人攻擊：網站管理員即刻更新同查後門
• DeepSeek 配 Hermes Agent 自動掃漏洞：7 類公開系統要即時檢查

AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。

參考來源

• iThome — 美國CISA警告WordPress資安漏洞遭積極利用 — original report

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。