關(guān)鍵詞

漏洞

黑客正在利用 User Registration & Membership 插件中的高危漏洞，該插件在超過 6 萬(wàn)個(gè) WordPress 網(wǎng)站上安裝使用。

該插件由 WPEverest 開發(fā)，提供會(huì)員與用戶注冊(cè)管理功能，包括自定義表單、PayPal/Stripe 支付集成、銀行轉(zhuǎn)賬及數(shù)據(jù)分析。

該漏洞編號(hào)為 CVE-2026-1492，CVSS 評(píng)分 9.8 分（高危）。由于插件在注冊(cè)時(shí)允許用戶指定角色，黑客可未授權(quán)創(chuàng)建管理員賬戶。

管理員賬戶擁有網(wǎng)站完全權(quán)限，可安裝插件 / 主題、編輯 PHP、修改安全配置、篡改內(nèi)容，甚至鎖定合法管理員。

獲得該權(quán)限的攻擊者可竊取用戶數(shù)據(jù)庫(kù)等數(shù)據(jù)，并植入惡意代碼向訪客分發(fā)惡意程序。

WordPress 安全公司 Defiant（Wordfence 開發(fā)商）在過去 24 小時(shí)內(nèi)，在客戶環(huán)境中攔截了超過 200 次針對(duì)該漏洞的利用嘗試。

漏洞影響 5.1.2 及以下所有版本。開發(fā)者已在 5.1.3 版本中發(fā)布修復(fù)。建議網(wǎng)站管理員更新至最新版本 5.1.4（上周發(fā)布）。

若無法更新，建議暫時(shí)禁用或卸載插件。

據(jù) Wordfence 數(shù)據(jù)，CVE-2026-1492 是該插件今年披露的最嚴(yán)重漏洞。

黑客持續(xù)針對(duì) WordPress 網(wǎng)站，用于惡意活動(dòng)：分發(fā)惡意軟件、釣魚、搭建 C2、代理流量或存儲(chǔ)被盜數(shù)據(jù)。

2026 年 1 月，黑客開始利用 Modular DS 插件的最高危漏洞 CVE-2026-23550，可遠(yuǎn)程繞過認(rèn)證并以管理員權(quán)限訪問受影響網(wǎng)站。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！