更新日期：2026 年 11 月 10 日（台灣時間）。
今天最需要優先處理的事
全球安裝數超過千萬的 Contact Form 7，6.2 至 6.2.3 版存在未登入即可利用的任意檔案上傳漏洞（CVE-2026-114432），WPScan 已於 11/09 更新紀錄並預告 11/19 公開概念驗證（PoC）。請今天就確認版本，更新到 6.2.4 以上（目前最新 6.2.4.1）。另外，已被 CISA 列入已知遭利用清單的 WordPress 核心漏洞 CVE-2026-119977，若網站仍未更新到 7.1.4，也請一併處理。
本日重點一覽
- 緊急｜Contact Form 7：CVE-2026-114432，未登入任意檔案上傳，特定主機環境可能導致遠端程式碼執行。
- 高｜WordPress 核心：CVE-2026-119977，已列入 CISA KEV，持續提醒尚未更新到 7.1.4 的網站。
Contact Form 7：CVE-2026-114432 未登入任意檔案上傳
- 受影響產品與版本：Contact Form 7 外掛 6.2 至 6.2.3。
- 已修補版本：6.2.4（WordPress.org 目前提供 6.2.4.1）。
- 安裝數：WordPress.org 外掛目錄標示 10+ million（超過一千萬個網站）。
- CVE／CVSS：CVE-2026-114432；Patchstack 評 8.1，WPScan 清單頁評 7.5；另有資安業者引用 CISA-ADP 的 9.8 評分，本站尚未能直接於 NVD 取得官方評分。
- 公告時間：Patchstack 於 10/31 收錄，WPScan 於 11/05 公開、11/09 更新。
白話說明：Contact Form 7 的表單如果有「檔案上傳」欄位，舊版在處理某些特殊檔名時缺少完整檢查，讓沒有登入的訪客也能把不該接受的檔案送進網站的上傳目錄。依 WPScan 的說明，在常見的 Debian／Ubuntu 預設 Apache 環境下，這可能進一步變成遠端執行程式碼，也就是攻擊者可以控制網站；在 nginx 或有 .htaccess 限制的環境，影響較有限，但仍可能在上傳目錄留下可被瀏覽器執行的內容。
為什麼今天要處理：本站在 11/01 資安快訊已提醒過這個問題，當時尚未有 CVE 編號。這幾天的新進展是：CVE 已正式指派、WPScan 已驗證並把風險描述擴大到「可能遠端執行程式碼」，並預告 11 月 19 日公開 PoC。PoC 公開後，自動化攻擊工具通常很快就會跟上，因此建議在 11/19 前完成更新。關於是否已遭實際利用，Patchstack 頁面標示與內文說法不一致，截至本文查證時，本站未取得 CISA 已列入 KEV 的確認，請不要過度恐慌，但也不要拖延。
具體處理步驟：
- 到後台「外掛」確認 Contact Form 7 版本；6.2 至 6.2.3 都屬於受影響範圍，舊於 6.2 的版本請另行評估是否該升級到最新版。
- 先完整備份檔案與資料庫，再更新到 6.2.4.1（至少 6.2.4）。
- 若暫時無法更新：先把表單中的「檔案上傳」欄位移除或停用該表單，改用 Email 收件；並請主機商確認
/wp-content/uploads目錄已禁止執行 PHP。 - 更新後檢查
/wp-content/uploads（特別是wpcf7_uploads相關資料夾）有沒有 .php、.phtml 或檔名奇怪的檔案。 - 到「使用者」頁面檢查有無不認識的管理員帳號，並查看近期登入與檔案變更紀錄。
- 實測一次表單送出、附件與通知信，確認更新後功能正常。
持續提醒：WordPress 核心 CVE-2026-119977（已列入 CISA KEV）
- 受影響版本：WordPress 4.7 至 7.1.3。
- 已修補版本：WordPress 7.1.4（10/28 釋出，並回補到各舊分支）。
- CVE／CVSS：CVE-2026-119977，CVSS 8.1。
- 利用狀況：美國 CISA 已於 11/03 列入已知遭利用漏洞（KEV）清單；Wordfence 觀察到大量攻擊嘗試，但報導指出尚未確認成功入侵案例。
白話說明：這是核心更新流程中的競態條件問題，未登入攻擊者有機會在網站更新的時間差中執行程式碼，攻擊難度較高，但已有攻擊者積極嘗試。本站在 11/01 快訊已詳細說明，今天再提醒是因為它已被列入官方「已遭利用」清單。
處理步驟：到「控制台 → 更新」確認核心為 7.1.4（或你所在舊分支的最新安全版）；若關閉了自動更新，請今天手動更新，更新後同樣檢查上傳目錄可疑 PHP 檔與未知管理員帳號。
其他來源查核
n
WordPress.org、php.net、TWCERT/CC 與資通安全署過去 48 小時無新的重大公告。
常見問題 FAQ
我的表單沒有檔案上傳欄位，也需要更新嗎？
需要。漏洞主要透過檔案上傳欄位觸發，沒有該欄位的網站暴露風險較低，但外掛更新成本很低，建議一律更新到 6.2.4 以上，避免日後新增欄位時忘記。
更新 Contact Form 7 會影響現有表單嗎？
一般不會改動既有表單設定，但仍建議先備份，更新後實際送出一次表單、確認通知信與附件都正常。
怎麼判斷網站是否已經被利用？
重點檢查上傳目錄是否出現 PHP 等可執行檔、是否有不明管理員帳號、首頁是否被導向陌生網站。若發現異常，先保留紀錄與備份，再請專業人員協助清查。
需要有人幫你盯更新？
外掛漏洞幾乎每週都有，企業官網最怕的是「沒人負責更新」。大郁提供 WordPress 網站維護服務，包含定期備份、安全更新、更新後功能測試與異常檢查。
參考資料
- WPScan：Contact Form 7 6.2–6.2.3 未登入任意檔案上傳
- WPScan：Contact Form 7 外掛漏洞列表
- Patchstack：Contact Form 7 6.2–6.2.3 Arbitrary File Upload
- WordPress.org：Contact Form 7 外掛頁面
- Rescana：Contact Form 7 CVE-2026-114432 分析
- WordPress.org Security News（WordPress 7.1.4）
- Security Affairs：CISA 將 WordPress 漏洞列入 KEV
- SecurityWeek：WordPress 核心漏洞遭攻擊者鎖定
本篇僅提供防護資訊，不含利用方法。
