漏洞概述

近期，安全研究人員發(fā)現(xiàn)WordPress核心系統(tǒng)中存在一個(gè)高危漏洞（CVE編號(hào)待分配），該漏洞可能允許攻擊者繞過(guò)權(quán)限驗(yàn)證，直接獲取網(wǎng)站管理員權(quán)限并完全接管目標(biāo)站點(diǎn)。該漏洞影響多個(gè)WordPress版本，尤其對(duì)未及時(shí)更新的網(wǎng)站構(gòu)成嚴(yán)重威脅。

技術(shù)細(xì)節(jié)

漏洞源于WordPress的權(quán)限校驗(yàn)機(jī)制缺陷，攻擊者可通過(guò)構(gòu)造惡意請(qǐng)求繞過(guò)身份驗(yàn)證流程：

1. 權(quán)限提升：通過(guò)特定API接口注入非法參數(shù)，將低權(quán)限用戶（如訂閱者）提升為管理員。
2. 代碼執(zhí)行：結(jié)合部分插件未過(guò)濾的短代碼功能，實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行（RCE）。
3. 數(shù)據(jù)庫(kù)操作：直接修改wp_users表數(shù)據(jù)，劫持管理員賬戶。

測(cè)試顯示，在默認(rèn)配置的WordPress 6.4.1及更早版本中，攻擊者可在未登錄狀態(tài)下完成利用。

影響范圍

• 受威脅版本：WordPress 5.7至6.4.1（部分功能回溯影響更早版本）
• 風(fēng)險(xiǎn)場(chǎng)景：?jiǎn)⒂糜脩糇?cè)功能或存在XSS漏洞的站點(diǎn)風(fēng)險(xiǎn)更高
• 已知攻擊：已監(jiān)測(cè)到批量掃描活動(dòng)，攻擊者試圖植入后門程序

解決方案

1. 緊急更新：立即升級(jí)至WordPress 6.4.2或更高版本。
2. 臨時(shí)緩解：

• 禁用xmlrpc.php接口
• 安裝安全插件（如Wordfence）啟用防火墻規(guī)則

1. 深度檢測(cè)：檢查網(wǎng)站是否存在異常管理員賬戶及未知插件文件。

專家建議

WordPress安全團(tuán)隊(duì)強(qiáng)調(diào)，所有用戶應(yīng)遵循最小權(quán)限原則，并建議：

• 啟用雙因素認(rèn)證（2FA）
• 定期審計(jì)用戶列表及文件完整性
• 避免使用”admin”作為默認(rèn)用戶名

目前主流托管商（如SiteGround、Bluehost）已開(kāi)始強(qiáng)制推送安全更新。企業(yè)用戶需特別注意自定義主題/插件的兼容性測(cè)試。

注：本文基于公開(kāi)漏洞報(bào)告撰寫(xiě)，具體技術(shù)細(xì)節(jié)已做模糊化處理。網(wǎng)站管理員可通過(guò)WordPress官方安全通告獲取最新信息。