WordPress 五款插件同批曝高危漏洞：三枚 9.8 可未认证接管站点
10 月 10 日五款 WordPress 插件同批披露高危漏洞，含三枚 CVSS 9.8：Advanced IP Blocker 认证绕过、Extensions For CF7 任意文件上传、3D Product Configurator 远程代码执行，另两枚 9.1 为提权与授权绕过。
WordPress
CVE-2026-85097：Bricksforge 插件未认证文件上传致 RCE 在野利用
WordPress 插件 Bricksforge 被曝未认证任意文件上传漏洞，编号 CVE-2026-85097，CVSS 最高 10.0。攻击者 10 月 7 日起大规模利用，上传 GIF/PHP 多态文件即可执行任意代码，官方已在 3.1.8.10 修复。
TIKTOUK 工具包批量窃取 WordPress 凭据：3.7 万域名 5 万条凭证
LevelBlue 披露工具包 TIKTOUK，把暴露的 WordPress 配置备份、加密 SMTP 插件设置与前端 JavaScript 密钥串成流水线批量回收明文凭据，一个泄露面板含约 3.7 万域名下 5 万条服务器端凭据。
CVE-2026-18143：WooCommerce 报价插件未认证文件上传 CVSS 9.8
Request a Quote for WooCommerce 插件 2.9.2 及以下存在未认证任意文件上传漏洞 CVE-2026-18143，CVSS 9.8，攻击者可在可访问目录写入 PHP 文件；官方已发 2.9.3，同时建议禁止 uploads 目录执行 PHP。
Elementor CSRF 漏洞：点一条链接即可创建后门管理员
Elementor Website Builder 4.3.0 与 4.3.1 存在 CSRF 漏洞，CVSS 8.8，已登录管理员点击一个链接即可被诱导执行任意 REST API 操作，默认安装下会为攻击者新建管理员账号。受影响版本安装量超 200 万，修复版本 4.3.2。
CVE-2026-87902：WordPress 未认证路径遍历致本地文件包含，7.1.2 紧急修复
WordPress 9 月 22 日发布 7.1.2，仅修复一处未认证路径遍历漏洞 CVE-2026-87902，CVSS 9.2。页面模板解析可被诱导包含主题目录之外的任意可读 PHP 文件，配合 register_argc_argv 与 PEAR 可升级为远程代码执行。
CVE-2026-94106：getID3 未转义文件名致命令注入，CVSS 8.8
9 月 20 日公开的 CVE-2026-94106 显示，PHP 元数据解析库 getID3 在 1.9.26 之前写入音频标签时未对文件名做 shell 转义，攻击者只需构造含 Shell 元字符的文件名即可命令注入，CVSS 8.8，修复版 1.9.26。
WordPress 7.1.1 修复 Click2Shell：一次点击链式触发 RCE，6.0 以上均受影响
WordPress 于 9 月 17 日发布 7.1.1，修复被 pwn.ai 命名为 Click2Shell 的核心漏洞：构造链接可让已登录管理员的浏览器自动安装指定主题，并链式导致远程代码执行。单独评分 CVSS 7.1，完整攻击链 9.6。
EtherHiding+ClickFix 大规模投递：5400 个中小企业站点被植入区块链载荷
Netskope 威胁实验室披露，超过 5400 个中小企业网站被攻陷并用于投递 ClickFix 载荷，恶意配置存放在 BNB 智能链合约中，新变种改走 WebRTC 数据通道建立加密隐蔽 C2，几乎不留磁盘痕迹。
CVE-2026-78006：The Events Calendar 未认证 PHP 对象注入，CVSS 9.8 可 RCE
WordPress 活动日历插件 The Events Calendar 6.17.4 及以下版本被披露未认证 PHP 对象注入漏洞 CVE-2026-78006，CVSS 9.8。攻击者只需在活动页提交一条评论即可触发反序列化并执行代码。
CVE-2026-62103：WordPress 表单插件 Everest Forms 未认证 PHP 对象注入，CVSS 9.8
Everest Forms 3.6.0 及更早版本存在未认证 PHP 对象注入漏洞 CVE-2026-62103，CVSS 9.8。攻击者无需登录即可提交恶意序列化数据，配合站点内已有 POP 链可致代码执行。
WordPress 登录加固实战：限流与禁用XML-RPC
wp-login.php 是 WordPress 被爆破最频繁的入口，xmlrpc.php 则常被用于密码猜解与攻击放大。本文详解 WordPress 登录加固方案：Nginx 登录页限流规则、XML-RPC 禁用与限流两种模式、应用层失败锁定配置，含 JetPack 依赖排查与误封自救，命令可直接复制。