網頁設計新知

WordPress 官方釋出的緊急修補版本，背後對應的是一場已經開打的攻擊。核心程式中兩個可以互相串接的漏洞，讓攻擊者不必登入、也不必依賴任何外掛，就能對預設安裝的網站取得遠端執行權限。以全球使用比例推估，暴露在風險中的站台數量高達數千萬——其中也包含大量台灣企業的官網。

受影響版本與修補對照

官方已在最新版本中修補此問題，並同步回補到多個仍在維護的分支。網站管理者第一件事，就是確認自家版本是否落在受影響區間：

「預設安裝就會中」這點特別關鍵。過去許多 WordPress 的重大事件，問題出在第三方外掛，管理者只要沒安裝該外掛就能置身事外；這次不同，只要版本落在區間內，無論網站多單純都在射程之內。

WP2Shell：從資料庫一路打到系統權限

這條被研究人員命名為 WP2Shell 的攻擊鏈，結合了一個 SQL 資料隱碼問題與一個 REST API 批次路由的混淆缺陷。攻擊者先利用路由混淆繞過權限判斷，再藉由 SQL 注入操作資料庫內容，最終串接出未授權的遠端程式碼執行能力。整個過程不需要任何有效帳號，也不需要使用者點擊任何連結。

更棘手的是時間差。官方修補推出後僅僅數小時，資安團隊就已觀察到實際的攻擊流量；換句話說，攻擊者並不是等到有人公布細節才動手，而是直接從官方修補的程式碼差異反推出漏洞位置。這種「用補丁反推攻擊」的手法早已成為常態，也意味著「稍後再更新」的代價比以往高得多。

當補丁本身就是攻擊者的線索，延後更新的每一個小時，都是把主動權交給對方。

數千萬網站暴露：規模為何如此驚人

依據公開統計推估，全球有超過四億個站台使用 WordPress，即使以相對保守的方式估算受影響版本的佔比，暴露面仍高達約九千萬個網站。這個數字之所以合理，原因在於幾個結構性因素：

造成大規模暴露的四個原因

• 自動更新常被關閉：不少客製化網站因擔心與佈景主題衝突，索性停用核心自動更新。
• 主機商版本落後：部分虛擬主機環境的 PHP 版本過舊，導致網站無法升級到最新核心。
• 網站無人負責：建置專案結案後沒有維護合約，更新通知信寄到已離職員工的信箱。
• 多站共用主機：同一台主機上只要有一個站台被攻破，其餘站台常一併受害。

更新之後，還要做入侵痕跡檢查

如果您的網站在漏洞公開後才完成更新，代表曾經有一段暴露窗口，必須額外做痕跡檢查，而不是更新完就結案：

1. 檢視存取紀錄：重點觀察對 REST API 路徑（/wp-json/）的異常大量請求，以及來源集中的可疑 IP。
2. 比對使用者清單：確認沒有陌生的管理員帳號，並檢查既有帳號的權限是否被提升。
3. 檢查檔案異動：找出近期被修改或新增的 PHP 檔，特別留意上傳目錄中不該出現的可執行檔。
4. 更換所有憑證：包含後台密碼、資料庫密碼、FTP/SSH 金鑰與 wp-config.php 中的安全金鑰。
5. 確認排程任務：檢查 WP-Cron 與伺服器排程是否被植入定時執行的可疑指令。

結語：更新是最便宜的資安投資

這次事件再次驗證一個現實：多數網站入侵並非源於高深的零時差攻擊，而是「已經有補丁、卻沒有人去按下更新」。對經營者而言，網站是品牌門面、也是業務入口，一旦被掛馬或被搜尋引擎標記，損失的不只是修復費用，還有難以估算的信任成本。

建議企業把 WordPress 核心與外掛更新、弱點掃描、異地備份與監控納入固定的維護流程；若目前的網站架構老舊、更新風險高，也可趁此機會評估重新規劃，讓資安成為網站設計時就內建的一部分，而不是事後補救的項目。