WordPress漏洞曝光，攻击者可利用漏洞完全接管网站

漏洞概述

近期，安全研究人员发现WordPress核心系统中存在一个高危漏洞（CVE编号待分配），该漏洞可能允许攻击者绕过权限验证，直接获取网站管理员权限并完全接管目标站点。该漏洞影响多个WordPress版本，尤其对未及时更新的网站构成严重威胁。

技术细节

漏洞源于WordPress的权限校验机制缺陷，攻击者可通过构造恶意请求绕过身份验证流程：

1. 权限提升：通过特定API接口注入非法参数，将低权限用户（如订阅者）提升为管理员。
2. 代码执行：结合部分插件未过滤的短代码功能，实现远程代码执行（RCE）。
3. 数据库操作：直接修改wp_users表数据，劫持管理员账户。

测试显示，在默认配置的WordPress 6.4.1及更早版本中，攻击者可在未登录状态下完成利用。

影响范围

• 受威胁版本：WordPress 5.7至6.4.1（部分功能回溯影响更早版本）
• 风险场景：启用用户注册功能或存在XSS漏洞的站点风险更高
• 已知攻击：已监测到批量扫描活动，攻击者试图植入后门程序

解决方案

1. 紧急更新：立即升级至WordPress 6.4.2或更高版本。
2. 临时缓解：

• 禁用xmlrpc.php接口
• 安装安全插件（如Wordfence）启用防火墙规则

1. 深度检测：检查网站是否存在异常管理员账户及未知插件文件。

专家建议

WordPress安全团队强调，所有用户应遵循最小权限原则，并建议：

• 启用双因素认证（2FA）
• 定期审计用户列表及文件完整性
• 避免使用”admin”作为默认用户名

目前主流托管商（如SiteGround、Bluehost）已开始强制推送安全更新。企业用户需特别注意自定义主题/插件的兼容性测试。

注：本文基于公开漏洞报告撰写，具体技术细节已做模糊化处理。网站管理员可通过WordPress官方安全通告获取最新信息。