WordPress
该标签下有 6 篇文章
WordPress 7.1.4 漏洞 CVE-2026-119977：可能导致远程代码执行的核心更新竞态条件已修复；请检查版本与自动更新
2026年10月28日，WordPress 项目发布安全版本 7.1.4，修复了核心更新过程中一个可能导致远程代码执行的漏洞。据 WordPress 的 GitHub 安全公告，在使用完整安装包进行核心更新时，WordPress 会把新文件解压到可通过网络访问的升级目录内一个可预测的目录中，未经认证的攻击者如果在解压期间赢得竞态，就可能实现远程代码执行（RCE）。修复包含在 7.1.4 中，并已回移到一直追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 于10月31日由担任 CNA 的 Wordfence 发布，CVSS v3.1 评分为 8.1（高危），攻击复杂度为高；WordPress 的公告将其评为低，并未给出评分。据 SecurityWeek 报道，一家 WordPress 安全厂商在部署防火墙规则9分钟后首次命中，并在最初21小时内记录到超过18,500个针对临时更新位置的请求；该厂商表示未报告任何成功入侵。CISA 于11月3日将该 CVE 列入其已知被利用漏洞（KEV）目录（KEV 条目给出美国联邦机构的截止日期为11月6日，CISA 除要求打补丁外，还要求联邦机构依据 BOD 26-04 进行取证分级排查）。启用了后台自动更新的站点应会自行更新；关闭了自动更新的站点应在“更新”页面手动更新。本站结论：把它当作已被利用的漏洞，今天就更新；如果你更新较晚，请检查是否有被入侵的迹象（本站的建议）。
【突发】PHP 漏洞 CVE-2026-109618 与 CVE-2026-109619 已遭利用，被列入 CISA KEV 目录：请立即更新至 8.5.12、8.4.27、8.3.36 或 8.2.35
2026年10月21日，PHP 安全团队发布了 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复了两个可能允许未经认证的远程代码执行（RCE）的严重漏洞，并敦促所有用户立即更新。CVE-2026-109618 涉及内存耗尽时的处理，CVE-2026-109619 涉及请求之间残留的过期内部状态；两者在 CVSS v4.0 下均被评为 9.2。所有处理网页请求的 PHP 安装都有风险（PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed）。该团队认为 mod_php 风险最高，并援引了一个已演示的利用方式：未经认证的请求会在任何应用代码运行之前触发攻击。PHP 8.1 及更早版本不会获得官方更新；该团队为 7.4、8.0 和 8.1 提供了最小化的源代码回移补丁。Linux 发行版提前收到了补丁。目前没有完整的缓解方案，更新是唯一安全的选择。10月22日，日本 IPA 与 JPCERT/CC 发布警报，JVN 发布了 JVNVU#99905564。CISA 在首次发布警报时尚未观察到利用，但已于10月26日将这两个漏洞列入其已知被利用漏洞（KEV）目录，并为美国联邦民事机构设定了10月29日的期限。据媒体报道，一名安全研究人员运行未打补丁的 PHP 8.4.26（mod_php）的蜜罐于10月24日遭到成功的远程代码执行。一家大型云服务商的蜜罐在披露前四天（10月17日）就已监测到利用尝试。据本站所查，截至10月27日，尚无蜜罐以外的入侵被公开。日本大多数主要共享主机服务商已宣布修复已应用，但部分服务商（如 KAGOYA）尚未宣布。10月23日，PHP 团队披露了第三个问题（CVE-2026-115560），该问题未被10月21日的版本修复。它只有在特定的配置和应用代码组合下才可能导致代码执行；该团队认为实际中不太可能出现，将在下一个常规版本中发布修复和完整公告，并建议在此之前设置 session.upload_progress.enabled=0。受影响的版本和 CVSS 评分尚未公布，也未报告任何利用行为。截至10月29日（在 php.net 上查看），该问题的修复版本尚未发布。10月28日，CISA 还将 Linux 内核漏洞 CVE-2026-46300 列入 KEV（美国联邦机构的期限为10月31日），并表示它可以与这两个漏洞串联，用于植入 PHP webshell 并以 root 身份执行命令。本站观点：利用现已得到确认，请确认你或你的服务商是否为每个站点更新 PHP，并立即升级到修复版本。同时请检查10月17日起的日志，查找入侵迹象。在共享主机上，请在服务商官方网站上查看其完成通知。
Rank Math PRO 3.0.123 夹带恶意软件（2026年10月）：谁受影响，以及WordPress网站管理员应做什么
2026年10月16日（UTC），Rank Math宣布，其WordPress插件的付费版本Rank Math PRO v3.0.123对于在2026年10月15日20:02 UTC至10月16日07:12 UTC之间下载该版本的部分用户含有恶意软件。若插件被启用，恶意软件可能危及网站，并可能在每次访问网站时重新生成其隐藏的后门。公司已删除受影响文件，并发布了干净的v3.0.124版本。在WordPress.org上分发的免费版不受影响。受影响用户的数量以及恶意软件如何进入文件均未披露。截至10月20日，通告最后一次更新是在10月19日，当时新增了免费版不受影响的说明。本站的结论是：对于在受影响时段内获取并启用了3.0.123副本的网站，应视为已被入侵，并选择从时段之前的备份恢复，或删除整个插件文件夹，然后按照公司给出的顺序进行清理。无论采取哪种方式，都应更改网站可读取的所有凭证。
ConoHa WING（GMO Internet）部分Web服务器遭未授权访问（426个账户）：客户网站服务器区域的数据受影响，网站所有者今天应做什么
2026年9月20日，GMO Internet, Inc.宣布，在其ConoHa WING租用主机服务的部分托管服务器（Web服务器）上，第三方未经授权访问了部分客户的Web服务器区域并植入了恶意程序。426个账户受影响，所涉数据为“客户Web服务器区域内存储的数据”。访问和植入始于9月3日；公司于9月16日发现，并于9月18日查明原因和范围并删除了程序。公司表示已查明原因，但未公开。据称，会员、合同和支付数据在单独的环境中管理，未发生泄露。通知未说明Web服务器区域中的数据是否被取走。受影响客户已通过登记的电子邮件地址被单独联系，未被联系的客户不受影响。截至10月15日，尚无后续通知。本站的建议：首先检查是否收到了单独的电子邮件，如收到，按其指示操作。然后将Web服务器区域中保存的凭据（wp-config.php中的数据库密码、.env中的API密钥等）视为已被读取，并予以更改；同时检查自9月3日以来新增的文件、管理员和计划任务。
如何检查网站或服务器是否被入侵：共享主机、WordPress 和 VPS 的逐步检查，以及发现问题后最先做什么
检查站点是否被入侵，要同时看外部可见的迹象和服务器内部留下的痕迹。迹象：Search Console 的「Security issues」（安全问题）报告、搜索结果中的「This site may be hacked」（此网站可能已遭到入侵）标签、主机商的通知、陌生的管理员、只在手机上或只从搜索进入时才发生的跳转。痕迹：管理员用户、被修改的核心文件（wp core verify-checksums）、登录记录、authorized_keys、cron、监听端口、最近被修改的文件。本站的看法：什么都没找到并不能证明是干净的。如果发现了问题，先保全证据再清理，从干净的设备更换所有凭据，从入侵前的备份恢复或重建，堵住入口，最后再申请审核。
WordPress 安全 — 生产环境加固实务参考
WordPress 占有最大市场份额，因此也是最大的攻击目标，但入侵途径是可预测的（插件/主题漏洞、拖延更新、弱管理员、暴露的管理后台）。本页是一份可上手的实务参考：(1) 按优先级排序的加固检查清单（P0–P2）；(2) 分领域指南——自动更新、插件/主题最小化、强管理员 + 双因素认证、降低管理后台暴露（xmlrpc/REST 枚举/文件编辑）、wp-config 与密钥、文件权限、HTTPS/备份、PHP/依赖的更新；(3) 一份自我验证清单。仅限防御——不含攻击步骤。