WordPress
該標籤下有 6 篇文章
WordPress 7.1.4 漏洞 CVE-2026-119977：可能導致遠端程式碼執行的核心更新競態條件已修補；請檢查版本與自動更新
2026 年 10 月 28 日，WordPress 專案發布安全版本 7.1.4，修補核心更新過程中一個可能導致遠端程式碼執行的漏洞。根據 WordPress 的 GitHub 安全公告，在使用完整安裝包進行核心更新時，WordPress 會把新檔案解壓縮到可透過網路存取的升級資料夾內一個可預測的目錄中，未經驗證的攻擊者若在解壓縮期間贏得競態，就可能達成遠端程式碼執行（RCE）。修補內含於 7.1.4，並已回補到一路追溯至 4.7 的所有分支（7.0.8、6.9.11、6.8.12 等）。CVE-2026-119977 於 10 月 31 日由擔任 CNA 的 Wordfence 發布，CVSS v3.1 評分為 8.1（高），攻擊複雜度為高；WordPress 的公告將其評為低，並未給出分數。據 SecurityWeek 報導，一家 WordPress 資安廠商在部署防火牆規則 9 分鐘後首次命中，並在最初 21 小時內記錄到超過 18,500 個針對暫存更新位置的請求；該廠商表示未回報任何成功入侵。CISA 於 11 月 3 日將該 CVE 列入其已知遭利用漏洞（KEV）目錄（KEV 條目給出美國聯邦機關的截止日期為 11 月 6 日，CISA 除要求修補外，還要求聯邦機關依據 BOD 26-04 進行鑑識分級檢查）。啟用背景自動更新的網站應會自行更新；關閉自動更新的網站應在「更新」頁面手動更新。本站結論：把它當作已遭利用的漏洞，今天就更新；若你較晚更新，請檢查是否有遭入侵的跡象（本站的建議）。
【快訊】PHP 漏洞 CVE-2026-109618 與 CVE-2026-109619 已遭利用，列入 CISA KEV 目錄：請立即更新至 8.5.12、8.4.27、8.3.36 或 8.2.35
2026 年 10 月 21 日，PHP 安全團隊發布 PHP 8.5.12、8.4.27、8.3.36 與 8.2.35，修補兩個可能允許未經驗證遠端程式碼執行（RCE）的嚴重漏洞，並敦促所有使用者立即更新。CVE-2026-109618 涉及記憶體不足（out-of-memory）處理，CVE-2026-109619 涉及請求之間殘留的過期內部狀態；依 CVSS v4.0 兩者皆為 9.2 分。所有處理網頁請求的 PHP 安裝都有風險（PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeed）。該團隊認為 mod_php 風險最高，並引用一個已示範的攻擊程式：未經驗證的請求會在任何應用程式碼執行前就觸發攻擊。PHP 8.1 及更舊版本不會獲得官方更新；該團隊為 7.4、8.0 與 8.1 提供了最小化的原始碼回補修補程式。Linux 發行版已提前取得修補程式。目前沒有完整的緩解方式，更新是唯一安全的選擇。10 月 22 日，日本 IPA 與 JPCERT/CC 發布警示，JVN 發布 JVNVU#99905564。CISA 在首次發布警示時尚未觀察到遭利用，但已於 10 月 26 日將這兩個漏洞列入其已知遭利用漏洞（KEV）目錄，並為美國聯邦民事機構設定 10 月 29 日的期限。據媒體報導，一名資安研究人員以 mod_php 執行未修補 PHP 8.4.26 的蜜罐系統，於 10 月 24 日遭成功遠端程式碼執行。一家大型雲端供應商的蜜罐系統在揭露前四天（10 月 17 日）就已看到遭利用的嘗試。就本站所能查到的範圍，截至 10 月 27 日，尚無蜜罐系統以外的入侵事件被公開。多數日本主要共享主機業者已宣布修補已套用，但部分業者（例如 KAGOYA）尚未宣布。10 月 23 日，PHP 團隊揭露第三個問題（CVE-2026-115560），該問題未被 10 月 21 日的版本修補。它只有在特定的設定與應用程式碼組合下才可能導致程式碼執行；該團隊認為實際上不太可能發生，將於下一個例行版本中提供修補與完整公告，並建議在此之前設定 session.upload_progress.enabled=0。受影響版本與 CVSS 分數尚未公布，也沒有任何遭利用的通報。截至 10 月 29 日（在 php.net 上查看），此問題的修補版本尚未發布。10 月 28 日，CISA 還將 Linux 核心漏洞 CVE-2026-46300 列入 KEV（美國聯邦機構的期限為 10 月 31 日），並表示它可以與這兩個漏洞串聯，用於植入 PHP webshell 並以 root 身分執行指令。本站的看法：遭利用現已獲得確認，請確認你或你的主機業者是否為各網站更新 PHP，並今天就升級至修補版本。同時請檢查 10 月 17 日起的日誌，尋找入侵跡象。若使用共享主機，請在業者官方網站查看其完成公告。
Rank Math PRO 3.0.123 遭植入惡意程式（2026年10月）：受影響對象與 WordPress 網站管理者該怎麼做
2026年10月16日（UTC），Rank Math 宣布其 WordPress 外掛付費版 Rank Math PRO v3.0.123 對部分下載者含有惡意程式，受影響者為在2026年10月15日 20:02 UTC 至 10月16日 07:12 UTC 之間下載的使用者。若外掛已啟用，惡意程式可能入侵網站，且每當網站被造訪時可能重建其隱藏後門。公司已移除受影響檔案並釋出乾淨的 v3.0.124。在 WordPress.org 發布的免費版不受影響。受影響使用者人數與惡意程式進入檔案的方式均未揭露。截至10月20日，公告最後一次變更是在10月19日，當時新增了免費版不受影響的說明。本站結論：凡是在受影響時段內取得並啟用 3.0.123 副本的網站，都應視為已遭入侵，並且要嘛還原至時段前的備份，要嘛刪除整個外掛資料夾，再依公司提供的順序清理。無論採取哪種方式，都應更換網站可讀取的所有憑證。
ConoHa WING（GMO Internet）部分網頁伺服器遭未經授權存取（426 個帳號）：客戶網頁伺服器區域的資料受影響，網站擁有者今天應該做什麼
2026 年 9 月 20 日，GMO Internet 股份有限公司宣布，其 ConoHa WING 租賃主機服務的部分主機伺服器（網頁伺服器）上，有第三方未經授權存取部分客戶的網頁伺服器區域，並安裝了惡意程式。共有 426 個帳號受影響，相關資料為「客戶網頁伺服器區域中儲存的資料」。存取與安裝始於 9 月 3 日；公司於 9 月 16 日偵測到，並於 9 月 18 日確認原因與範圍並移除了程式。公司表示已查明原因，但尚未公開。會員、契約與付款資料由獨立環境管理，公司表示未外洩。通知未說明網頁伺服器區域的資料是否遭取走。受影響的客戶已透過登記的電子郵件信箱個別聯繫，未被聯繫的客戶不受影響。截至 10 月 15 日，尚無後續通知。本站的看法：請先確認是否收到個別電子郵件，若有，請依其指示辦理。接著，請將網頁伺服器區域中保存的憑證（wp-config.php 中的資料庫密碼、.env 中的 API 金鑰等）視為已被讀取，並予以更換，同時檢查 9 月 3 日以後新增的檔案、管理員與排程工作。
如何確認網站或伺服器是否被入侵：共用虛擬主機、WordPress 與 VPS 的逐步檢查，以及發現異常時首先要做的事
檢查網站是否遭入侵，要同時查看從外部看得到的徵兆和留在內部的痕跡。徵兆：Search Console 的安全性問題報告、搜尋結果中的「This site may be hacked」（這個網站可能遭到入侵）標示、主機業者的通知、不明的管理員、只在手機或從搜尋進入時才發生的重新導向。痕跡：管理員使用者、被修改的核心檔案（wp core verify-checksums）、登入紀錄、authorized_keys、cron、監聽中的連接埠、最近變更的檔案。本站的看法：什麼都沒找到，並不能證明沒事。如果真的發現異常，請在清理前保存證據，從乾淨的裝置更換所有憑證，從入侵前的備份還原或重建，封住入侵途徑，最後才申請審查。
WordPress 資安 — 正式環境的加固參考
WordPress 市占最大，因此也是最大的攻擊目標，但入侵途徑是可預測的（外掛／佈景主題漏洞、跳過更新、脆弱的管理員、暴露在外的管理後台）。這是一份可實作的參考：(1) 依優先順序排列的加固清單（P0–P2），(2) 各面向的指引——自動更新、外掛／佈景主題最小化、強管理員＋2FA、降低管理後台暴露（xmlrpc/REST 列舉／檔案編輯）、wp-config 與機密、檔案權限、HTTPS／備份、PHP／相依套件的更新，以及 (3) 自我驗證清單。純防禦——不含攻擊步驟。