網頁設計新知

兩個原本被分開看待的 WordPress 漏洞，一旦被串接起來，就成了不需要帳號密碼、直接拿下整台主機的萬能鑰匙。這條被命名為 WP2Shell 的攻擊鏈，從公開到被大規模濫用只花了不到 48 小時，也讓台灣為數眾多、仰賴 WordPress 建站的中小企業官網，瞬間曝露在高風險之中。本文帶您拆解這條攻擊鏈的成因、實際攻擊樣態，以及網站管理者現在該做的三件事。

一條攻擊鏈，兩個看似不致命的漏洞

資安圈近期最受關注的事件，是研究人員在 WordPress 核心中發現的兩個編號為 CVE-2026-60137 與 CVE-2026-63030 的缺陷。單獨來看，這兩個漏洞的威脅程度並不算驚人：前者是一個 SQL 資料隱碼（SQL Injection）問題，觸發條件必須先擁有一組合法的登入身分；後者則是批次 REST API 在路由判斷上的邏輯瑕疵，讓請求得以繞過既有的權限檢查。

問題出在「組合技」。攻擊者先用 REST API 的邏輯缺陷取得原本需要身分驗證才拿得到的存取層級，再回頭引爆 SQL 注入漏洞操作資料庫，最終串出一條完全不需要事先登入、就能在伺服器上執行任意程式碼的路徑。這種「低危 + 低危 = 完全接管」的模式，正是近年攻擊者最偏好的手法，也是傳統只看 CVSS 單一分數來排定修補優先順序時，最容易失準的地方。

為什麼影響範圍會這麼大

• 觸發不需要任何第三方外掛，預設安裝的 WordPress 就在攻擊面之內。
• 攻擊者不需要有效帳號，等於任何可從網際網路連到的站台都是目標。
• WordPress 佔全球網站的比例極高，光是保守估算，暴露的站台數量就是以千萬計。

AI 讓武器化速度快到來不及反應

這次事件真正值得警惕的，其實不只是漏洞本身，而是「從公開到被武器化」的時間被壓縮到什麼程度。研究團隊揭露，他們藉助 AI 模型輔助分析與撰寫程式，只用了約十個小時就完成整條攻擊鏈的可行性驗證；而在漏洞細節公開後的兩天內，網路上已經出現二十多份可運作的概念驗證（PoC）程式碼。

過去，網站管理者還能仰賴「漏洞公告到實際攻擊之間有幾週緩衝」的默契來安排維護時間；如今這段緩衝幾乎歸零。對台灣多數把官網外包出去、又沒有簽訂長期維護合約的企業而言，這代表一件事：如果沒有人固定盯著更新，網站被入侵往往不是「會不會」，而是「什麼時候」。

蜜罐數據揭露的真實攻擊樣態

資安業者部署的蜜罐系統，在漏洞公開後短時間內就記錄到數萬次攻擊嘗試，並且捕捉到上百組被植入的後門管理員帳號。從實際樣本可以歸納出攻擊者入侵後的幾種常見動作：

入侵後最常出現的四種痕跡

• 偽造外掛：在 wp-content/plugins 底下放入名稱看似正常、實際功能是後門的目錄，且刻意不顯示於後台外掛列表。
• 幽靈管理員：新增看似無害的管理員帳號，或把既有的低權限帳號悄悄提升為 administrator。
• 憑證竊取：讀取 wp-config.php 取得資料庫帳密，進一步橫向移動到同主機的其他站台。
• 植入遠端存取木馬：下載並執行 RAT，讓主機長期受控，即使日後補了漏洞，後門依然存在。

補上漏洞只解決「怎麼進來」，不會解決「已經進來的人」。凡是曾經暴露在攻擊窗口期的站台，都必須當作可能已遭入侵來檢查。

網站管理者現在該做的事

面對這類已經進入大規模利用階段的漏洞，處理順序比處理速度更重要。建議依下列步驟推進：

1. 立刻更新核心版本。先確認目前 WordPress 版本是否落在受影響區間，並更新至官方已修補的版本；若因客製化考量無法直接升級，至少要在 WAF 層阻擋相關 REST API 路徑。
2. 盤點所有管理員帳號。逐一比對後台使用者清單與實際員工名單，任何無法對應到人的帳號都應立即停用並改密碼。
3. 檢查檔案異動時間。比對外掛與佈景主題目錄中近期被修改或新增的檔案，特別注意含有大量編碼字串的 PHP 檔。
4. 更換所有金鑰與密碼。包含資料庫密碼、FTP/SSH 憑證，以及 wp-config.php 中的 SALT 金鑰，強制所有既有登入階段失效。
5. 檢視備份可用性。確認備份的保留週期足以回溯到入侵發生之前，而不是只保留最近三天、早已被覆蓋成含後門的版本。

結語：把資安當成網站的基礎建設

WP2Shell 事件再一次證明，網站安全不是「有沒有裝防毒」這麼單純的問題，而是一連串設計、維護與監控的持續性工作。開源生態帶來彈性與低成本，代價則是必須自己承擔更新責任；當攻擊者能用 AI 在十小時內完成武器化，防守方唯一能拉開差距的，就是把修補流程制度化。

英傑銳建議，企業在規劃官網或電商網站時，就應把版本更新機制、權限最小化、定期健檢與備份還原演練一併納入規格；一個上線後沒人維護的網站，再漂亮的設計也撐不過下一波自動化攻擊。