一個用來讓網站「跑得更快」的效能外掛，卻可能成為駭客寫入檔案、癱瘓整個站台的入口。WordPress 知名快取外掛 W3 Total Cache 傳出 CVSS 評分達滿分 10.0 的重大漏洞，全球超過 90 萬個安裝中的網站受到影響，而攻擊者甚至不需要任何帳號密碼。這篇文章說明漏洞成因、實際風險，以及非技術背景的網站負責人該如何確認自家網站是否安全。
滿分 10.0 代表什麼
資安研究機構於八月中旬揭露，安裝量超過 90 萬的快取與效能最佳化外掛 W3 Total Cache 存在編號 CVE-2026-18051 的重大漏洞，影響 2.10.4 以前的所有版本，開發商已釋出 2.10.5 修補版。CVSS 評分 10.0 是這套評分制度的上限，通常同時滿足幾個最壞條件：可從網路遠端觸發、不需身分驗證、不需使用者互動，且能造成完整的機密性、完整性與可用性衝擊。
換句話說，只要網站對外開放、外掛版本落在受影響區間，攻擊者就有機會在無人知情的情況下操作伺服器。研究機構同時預告將於一個月後公開概念驗證程式碼，這代表留給網站管理者的緩衝期非常明確且短暫——公開之後，自動化掃描與攻擊工具幾乎會在數小時內跟上。
問題出在快取檔案的路徑處理
漏洞的根源，在於外掛產生快取檔案時對「寫入路徑」的檢查不夠嚴謹。正常情況下，快取檔案應該只會被寫進外掛自己的暫存目錄；但由於路徑驗證存在缺陷，未經身分驗證的攻擊者可以操控寫入位置，把檔案寫進伺服器上任何一個既有的目錄。
最直接的兩種危害
- 覆寫 .htaccess 設定檔：對使用 Apache 的網站而言，這個檔案掌管重寫規則與存取控制。一旦被覆寫，網站可能立刻出現 500 錯誤而全站中斷。
- 移除既有防護規則：更麻煩的情況是，攻擊者不讓網站掛掉，而是悄悄拿掉原本阻擋敏感目錄存取的規則，為下一階段的入侵鋪路。
這也是效能類外掛特別容易被鎖定的原因：它們天生就需要具備讀寫檔案系統的權限，一旦驗證邏輯有破口，影響範圍會直接落在伺服器層級，而不只是資料庫內容。
不需要登入就能寫檔案的漏洞，威脅程度永遠比「需要管理員權限才能觸發」的漏洞高上好幾個等級。
不熟技術也能自行確認的三個步驟
如果您是企業的行銷或管理窗口，不確定自家網站有沒有中招，可以依下列方式快速確認：
- 登入 WordPress 後台，進入「外掛」頁面。用瀏覽器的搜尋功能找 W3 Total Cache，若清單中沒有這個外掛，就不受本次事件影響。
- 確認版本號。外掛名稱下方會顯示版本；只要低於 2.10.5，就屬於受影響範圍，應立即點選更新。
- 更新後清空快取並實測。更新完成後清除全站快取，再以無痕視窗開啟首頁與幾個內頁，確認排版與功能正常。
更新前務必先備份。效能外掛的更新偶爾會與佈景主題或 CDN 設定衝突，建議先完成資料庫與檔案備份，並盡量避開行銷活動或大量流量的時段再執行。
若網站由外部廠商維護，請直接請廠商協助確認版本並排定更新，同時要求提供更新後的檢查結果。
從這次事件學到的外掛管理原則
WordPress 的強大來自龐大的外掛生態，但每多裝一個外掛，就等於多開一扇需要自己看守的門。建議把以下幾點納入日常維運習慣：
四個降低外掛風險的做法
- 定期做外掛斷捨離：停用但未刪除的外掛，程式碼仍留在伺服器上，一樣可能被利用，確定不用就應該移除。
- 優先選擇仍在積極維護的外掛：安裝前先看最後更新日期與相容版本，超過一年沒更新的要特別謹慎。
- 功能重疊的外掛只留一個：同時裝兩套快取或安全外掛，不僅衝突風險高，也擴大攻擊面。
- 開啟自動更新或設定提醒：至少為安全性更新開啟自動套用，並確保有人固定收到更新通知信。
結語：效能與安全必須一起規劃
網站速度會直接影響使用者體驗與搜尋排名，因此加裝快取外掛幾乎是台灣中小企業網站的標準配備。但這次事件提醒我們，效能最佳化不應該以擴大風險為代價——更根本的解法，是在網站建置階段就從主機環境、程式架構與圖片處理上把速度做好，減少對重量級外掛的依賴。
如果您的網站同時面臨速度不佳與外掛過多的問題，建議安排一次完整的體質檢視，重新評估架構與維護方案，讓網站在「快」與「安全」之間不必二選一。
