WordPress安全

WordPress 7.1.1 修复 Click2Shell：一次点击链式触发 RCE，6.0 以上均受影响

作者

WordPress 于 9 月 17 日发布 7.1.1，修复被 pwn.ai 命名为 Click2Shell 的核心漏洞：构造链接可让已登录管理员的浏览器自动安装指定主题，并链式导致远程代码执行。单独评分 CVSS 7.1，完整攻击链 9.6。

Brevo 供应链攻击预警：Cloudflare API 密钥失守，超 10 万网站被植入 ClickFix

作者

营销平台 Brevo 遭供应链攻击，攻击者用硬编码在源码中的长效 Cloudflare API 密钥部署恶意 Worker，在 CDN 边缘向 brevo.com 及超 10 万家客户站点注入 ClickFix 脚本，WordPress 管理员还会被静默装后门插件。

GiveWP WordPress 捐赠插件曝未认证 CVSS 10.0 RCE：10 万站点面临完整服务器接管威胁

作者

Patchstack 披露 GiveWP WordPress 捐赠插件 CVE-2026-82222，CVSS 3.1 评分 10.0 满分，未认证攻击者通过注册绕过 + 反序列化 + 捆绑库 gadget chain 三步链条，可向主机执行任意系统命令。全球超 10 万 WordPress 站点受影响，4.16.6 至 4.16.7.1 之间全部版本必须升级至 4.16.7.2。

CVE-2026-32475：Elementor Pro 表单上传未授权 PHP 写入 RCE，全球 10-20 亿次安装的 WordPress 站点面临接管

作者

2026 年 8 月 19 日披露的 Elementor Pro Forms 文件上传组件漏洞 CVE-2026-32475 允许未认证攻击者绕过文件扩展名黑名单，直接向 Web 根目录写入 PHP 文件并执行任意代码，CVSS 9.0-9.8，影响全球数千万 WordPress 站点。

StopAndProtect 勒索团伙被 Check Point 曝光 OPSEC 失误：用近 2000 个被入侵 WordPress 站点搭成全球犯罪基础设施

作者

Check Point Research 披露 StopAndProtect 勒索犯罪团伙 OPSEC 失误直接暴露 31,000 张受害主机截图、近 2000 个被劫持 WordPress 域名列表、内部自动化管理工具源码；该团伙用 ClickFix 伪 CAPTCHA 投递多阶段 PowerShell/.NET 载荷，覆盖 5000+ 受害者，IP 主要分布在美国、俄罗斯、印度。