事件经过
WordPress Core 4.7至7.1.3包含一个因全包核心升级期间使用的可预测、Web可访问的暂存路径导致的检查时间使用时间（TOCTOU）竞态条件（CWE-367）。未认证攻击者可在升级窗口期间在服务器上执行代码。CISA于2026年11月3日将其添加到已知利用漏洞目录，利用状态为“活跃”，联邦截止日期为2026年11月6日（CVSS 8.1）。已在WordPress 7.1.4中修补。
影响分析
这是当日唯一的CISA KEV新增——已确认野外利用的未认证RCE。其AI相关性是间接但真实的：大量AI应用作为WordPress插件交付（AI聊天、AI替代文本、AI Engine MCP服务器、代理AI插件）以及WordPress MCP/代理端点，它们运行在同一个核心上。在升级窗口期间攻陷核心可使攻击者在主机上获得代码执行，该主机也为这些AI面提供服务，因此任何在WordPress上运行AI的团队必须将2026年11月6日KEV截止日期视为紧急，并假设已被入侵。
攻击途径
未认证攻击者竞态核心升级窗口：全包升级期间可预测、Web可访问的暂存路径暴露，攻击者赢得TOCTOU以投放并执行服务器上的代码。
受影响系统
WordPress Core 4.7.0–7.1.3（任何在WordPress上运行AI插件/AI MCP服务器的站点）。
缓解措施
升级到WordPress 7.1.4+；避免升级中途停留并在升级期间限制对暂存路径的Web访问；遵循CISA BOD 26-04（截止2026年11月6日）并进行取证分类。