RCE
该标签下有 5 篇文章
WordPress 7.1.4 漏洞 CVE-2026-119977：可能导致远程代码执行的核心更新竞态条件已修复；请检查版本与自动更新
2026年10月28日，WordPress 项目发布安全版本 7.1.4，修复了核心更新过程中一个可能导致远程代码执行的漏洞。据 WordPress 的 GitHub 安全公告，在使用完整安装包进行核心更新时，WordPress 会把新文件解压到可通过网络访问的升级目录内一个可预测的目录中，未经认证的攻击者如果在解压期间赢得竞态，就可能实现远程代码执行（RCE）。修复包含在 7.1.4 中，并已回移到一直追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 于10月31日由担任 CNA 的 Wordfence 发布，CVSS v3.1 评分为 8.1（高危），攻击复杂度为高；WordPress 的公告将其评为低，并未给出评分。据 SecurityWeek 报道，一家 WordPress 安全厂商在部署防火墙规则9分钟后首次命中，并在最初21小时内记录到超过18,500个针对临时更新位置的请求；该厂商表示未报告任何成功入侵。CISA 于11月3日将该 CVE 列入其已知被利用漏洞（KEV）目录（KEV 条目给出美国联邦机构的截止日期为11月6日，CISA 除要求打补丁外，还要求联邦机构依据 BOD 26-04 进行取证分级排查）。启用了后台自动更新的站点应会自行更新；关闭了自动更新的站点应在“更新”页面手动更新。本站结论：把它当作已被利用的漏洞，今天就更新；如果你更新较晚，请检查是否有被入侵的迹象（本站的建议）。
不安全的反序列化：让外部数据选择对象类型的风险，以及如何防范
反序列化的危险不在于收到了错误的值，而在于某些格式让外部数据决定要构造哪种类型的对象。所以损害不止于数据损坏——OWASP 列出了拒绝服务、绕过访问控制和远程代码执行。两种防御：改用纯数据格式，让任何东西都无法替你选择类型；对序列化的消息签名，绝不还原未签名的消息。而且有些机制无论怎样配置都无法变得安全；唯一的办法就是不用。
文件上传漏洞——从设计上防止 Web Shell 和 RCE
上传漏洞的问题不在于「接收了文件」，而在于放在哪里、能否被执行。未认证的端点＋没有类型校验＋存放在 Web 根目录下＋那里可以运行脚本＝Web Shell → RCE。用多层来防御：（1）端点上的认证/权限＋CSRF，（2）服务器端白名单＋内容检查，（3）存放在 Web 根目录之外（或禁止执行），（4）随机化文件名，绝不信任用户提供的路径。不要只依赖一项控制，要让每一步都有能拦住攻击的东西。
什么是 RCE（远程代码执行）——为什么它是最糟一类的漏洞
RCE 是一种让攻击者能在服务器上执行任意代码的漏洞。它不止于信息泄露，而是直接通向被接管，属于最糟一类。损害能扩散到多远，由「该进程的权限」决定。防御的关键在于迅速更新、CVE 监控、最小权限。
AI 写的代码泄露了 API key 并被盗刷：原因是未打补丁的 CVSS 10.0 漏洞
账单暴涨只是症状。原因是公开已久、却一直没打补丁的 CVSS 10.0 RCE。本文把一个匿名化的案例提炼成防御的教训。