關(guān)鍵詞

漏洞

黑客正在積極利用 WordPress 的 Breeze Cache 插件中的一個嚴(yán)重漏洞，該漏洞可讓攻擊者在無需身份驗證的情況下，在服務(wù)器上上傳任意文件。

此安全漏洞編號為 CVE - 2026 - 3844，WordPress 生態(tài)系統(tǒng)的安全解決方案 Wordfence 已監(jiān)測到超 170 次利用該漏洞的攻擊嘗試。

Cloudways 開發(fā)的 Breeze Cache 是一款 WordPress 緩存插件，擁有超 40 萬活躍安裝量，旨在通過緩存、文件優(yōu)化和數(shù)據(jù)庫清理減少頁面加載頻率，從而提升網(wǎng)站性能和加載速度。

該漏洞被評定為嚴(yán)重級別，在 10 分制中獲 9.8 分，由安全研究員洪阮（Hung Nguyen，網(wǎng)名 bashu）發(fā)現(xiàn)并報告。

Wordfence 的開發(fā)商、WordPress 安全公司 Defiant 的研究人員表示，問題源于 “fetch_gravatar_from_remote” 函數(shù)中缺少文件類型驗證。

這使得未經(jīng)身份驗證的攻擊者能夠向服務(wù)器上傳任意文件，進而可能導(dǎo)致遠程代碼執(zhí)行（RCE），實現(xiàn)對網(wǎng)站的完全控制。

不過，研究人員稱，只有在啟用 “本地托管文件 - Gravatars” 附加組件（默認未開啟）的情況下，攻擊才可能成功。

CVE - 2026 - 3844 影響 2.4.4 及之前的所有 Breeze Cache 版本。Cloudways 已于本周早些時候發(fā)布的 2.4.5 版本中修復(fù)該漏洞。

據(jù)WordPress.org的統(tǒng)計數(shù)據(jù)，自最新版本發(fā)布以來，該插件約有 13.8 萬次下載。但尚不清楚有多少網(wǎng)站存在漏洞，因為沒有關(guān)于啟用 “本地托管文件 - Gravatars” 功能的網(wǎng)站數(shù)量數(shù)據(jù)。

鑒于該漏洞正被積極利用，建議依賴 Breeze Cache 提升性能的網(wǎng)站所有者 / 管理員盡快將插件升級到最新版本，或暫時停用該插件。

如果目前無法升級，管理員至少應(yīng)禁用 “本地托管文件 - Gravatars” 功能。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡(luò)安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！