Wordfence 报告 497 项 WordPress 插件与主题漏洞
Wordfence Intelligence 在 2026 年 10 月 12 日至 18 日收录 497 项 WordPress 插件和主题漏洞,涉及 327 个插件与 23 个主题,其中 428 项已修复、69 项未修复。
推荐理由:报告汇总了497项漏洞及受影响插件和主题、补丁状态与严重等级,并列出多项未修复的严重漏洞,便于站点核查版本和安排更新。
Wordfence Intelligence 在 2026 年 10 月 12 日至 18 日收录 497 项 WordPress 插件和主题漏洞,涉及 327 个插件与 23 个主题,其中 428 项已修复、69 项未修复。
推荐理由:报告汇总了497项漏洞及受影响插件和主题、补丁状态与严重等级,并列出多项未修复的严重漏洞,便于站点核查版本和安排更新。
Wordfence 称针对 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 的攻击仍在持续,但尚未观察到由这两项漏洞导致的确认入侵。
推荐理由:原文提供漏洞利用样本、攻击目标和处置步骤,可帮助站长识别异常请求并核对 PHP 修复状态。
PHP 项目为 CVE-2026-109618 和 CVE-2026-109619 发布紧急更新,两项漏洞的 CVSS v4.0 评分均为 9.2,可能允许未授权攻击者执行代码。
推荐理由:Wordfence 的测试显示漏洞利用会受服务器配置影响,但未修补的 PHP 服务仍可能遭受未授权代码执行,并提供了升级、重启与核查步骤。
PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35,修复可导致未认证远程代码执行的 CVE-2026-109618 与 CVE-2026-109619。所有提供 Web 请求的 PHP 安装均可能受影响,且 WordPress 自动更新无法修复这些问题,需要在服务器或主机服务商层面更新 PHP。
推荐理由:原文列出了两项 PHP 漏洞的受影响环境、修复版本和操作步骤,可用于判断主机是否需要升级及如何核验补丁。
PHP 项目已发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35,修复两项 CVSS v4.0 评分为 9.2 的严重漏洞。该更新不会通过 WordPress 自动更新安装,站点所有者需检查当前 PHP 版本,并确认主机或自行管理的服务器完成升级。
推荐理由:文章区分托管主机与自主管理服务器两种更新责任,并给出查询 PHP 版本、备份、预发布测试和确认主机更新安排的处置步骤。
Wordfence Threat Intelligence Team 发现 Duplicator 和 Duplicator Pro 存在高危未认证 PHP 对象注入漏洞 CVE-2026-82814,CVSS 3.1 评分为 8.8。
推荐理由:文章拆解了漏洞从匿名评论到管理员迁移触发的完整链路,并分别说明 Free 版命令执行与 Pro 版文件删除的利用条件及修复方式。
TeamUpdraft 的 teamupdraft.com 网站遭未授权访问,泄露的 UpdraftCentral 连接密钥被攻击者用于向关联站点上传、激活和删除恶意插件。
推荐理由:文章梳理了泄露连接密钥的利用路径、受影响范围、应急更新及逐站排查方法,可用于识别和处置 UpdraftCentral 相关入侵。
Wordfence 披露 2026 年 10 月 5 日至 11 日新增的 654 个 WordPress 漏洞,涉及 405 个插件和 100 个主题,其中 369 个已修复、285 个尚未修复。
推荐理由:报告汇总了 654 个漏洞及受影响版本、修复状态和 CVE 编号,便于站点维护者核对插件与主题并安排升级。
Wordfence 披露 Backuply 1.5.8 及更早版本存在二阶 SQL 注入漏洞,受影响插件有超过 600,000 个活跃安装。订阅者及以上权限的攻击者可在个人简介中植入恶意 SQL,管理员随后恢复包含该内容的数据库备份时,漏洞会被触发并可最终取得站点控制权。
推荐理由:漏洞原理、触发条件、修复版本和防火墙规则时间线完整,便于站点管理员判断风险并安排升级。
WordPress.org 正为每个插件和主题发布版本启用自动安全审查,高风险版本将在分发前被拦截。发布版本先经过 6 小时冷却期,再由多个 AI 模型与 Jetpack Scan 交叉检查并生成安全评分;高风险版本会停止通过 WordPress.org update API 分发,并向提交者发送审查结果,修复并发布低于拦截阈值的新版本后可恢复正常流程。
推荐理由:文章说明插件发布前自动安全审查的运行机制、封禁条件及作者解除封禁的处理方式,便于插件开发者理解发布流程。