跳到正文

#Wordfence

今日 0 条
10月24日周六
  1. Wordfence 官方博客70

    Wordfence 报告 497 项 WordPress 插件与主题漏洞

    Wordfence Intelligence 在 2026 年 10 月 12 日至 18 日收录 497 项 WordPress 插件和主题漏洞,涉及 327 个插件与 23 个主题,其中 428 项已修复、69 项未修复。

    推荐理由:报告汇总了497项漏洞及受影响插件和主题、补丁状态与严重等级,并列出多项未修复的严重漏洞,便于站点核查版本和安排更新。

10月23日周五
10月22日周四
  1. Wordfence 官方博客84

    PHP 发布 CVE-2026-109618 与 CVE-2026-109619 紧急安全更新

    PHP 项目为 CVE-2026-109618 和 CVE-2026-109619 发布紧急更新,两项漏洞的 CVSS v4.0 评分均为 9.2,可能允许未授权攻击者执行代码。

    推荐理由:Wordfence 的测试显示漏洞利用会受服务器配置影响,但未修补的 PHP 服务仍可能遭受未授权代码执行,并提供了升级、重启与核查步骤。

  2. Wordfence 官方博客90

    PHP 发布 8.5.12 等 4 个安全版本,修复 2 个严重远程代码执行漏洞

    PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35,修复可导致未认证远程代码执行的 CVE-2026-109618 与 CVE-2026-109619。所有提供 Web 请求的 PHP 安装均可能受影响,且 WordPress 自动更新无法修复这些问题,需要在服务器或主机服务商层面更新 PHP。

    推荐理由:原文列出了两项 PHP 漏洞的受影响环境、修复版本和操作步骤,可用于判断主机是否需要升级及如何核验补丁。

10月21日周三
  1. Wordfence 官方博客82

    PHP 发布 8.5.12 等版本修复两项 CVSS 9.2 漏洞

    PHP 项目已发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35,修复两项 CVSS v4.0 评分为 9.2 的严重漏洞。该更新不会通过 WordPress 自动更新安装,站点所有者需检查当前 PHP 版本,并确认主机或自行管理的服务器完成升级。

    推荐理由:文章区分托管主机与自主管理服务器两种更新责任,并给出查询 PHP 版本、备份、预发布测试和确认主机更新安排的处置步骤。

  2. Wordfence 官方博客92

    Wordfence Argus 发现 Duplicator 高危未认证 PHP 对象注入漏洞 CVE-2026-82814

    Wordfence Threat Intelligence Team 发现 Duplicator 和 Duplicator Pro 存在高危未认证 PHP 对象注入漏洞 CVE-2026-82814,CVSS 3.1 评分为 8.8。

    推荐理由:文章拆解了漏洞从匿名评论到管理员迁移触发的完整链路,并分别说明 Free 版命令执行与 Pro 版文件删除的利用条件及修复方式。

10月20日周二
  1. Wordfence 官方博客89

    UpdraftCentral 连接密钥泄露,被用于在 WordPress 站点安装恶意插件

    TeamUpdraft 的 teamupdraft.com 网站遭未授权访问,泄露的 UpdraftCentral 连接密钥被攻击者用于向关联站点上传、激活和删除恶意插件。

    推荐理由:文章梳理了泄露连接密钥的利用路径、受影响范围、应急更新及逐站排查方法,可用于识别和处置 UpdraftCentral 相关入侵。

10月16日周五
10月15日周四
  1. Wordfence 官方博客78

    Backuply 1.5.9 修复可导致 WordPress 站点接管的二阶 SQL 注入漏洞

    Wordfence 披露 Backuply 1.5.8 及更早版本存在二阶 SQL 注入漏洞,受影响插件有超过 600,000 个活跃安装。订阅者及以上权限的攻击者可在个人简介中植入恶意 SQL,管理员随后恢复包含该内容的数据库备份时,漏洞会被触发并可最终取得站点控制权。

    推荐理由:漏洞原理、触发条件、修复版本和防火墙规则时间线完整,便于站点管理员判断风险并安排升级。

9月9日周三
  1. Make WordPress Plugins(插件开发)86

    WordPress.org 为插件和主题发布引入自动安全审查

    WordPress.org 正为每个插件和主题发布版本启用自动安全审查,高风险版本将在分发前被拦截。发布版本先经过 6 小时冷却期,再由多个 AI 模型与 Jetpack Scan 交叉检查并生成安全评分;高风险版本会停止通过 WordPress.org update API 分发,并向提交者发送审查结果,修复并发布低于拦截阈值的新版本后可恢复正常流程。

    推荐理由:文章说明插件发布前自动安全审查的运行机制、封禁条件及作者解除封禁的处理方式,便于插件开发者理解发布流程。