WordPress 头部插件曝 9/10 分高危漏洞，官方连发三补丁全失效

WordPress缓存插件W3 Total Cache安全漏洞关键信息整理

一、漏洞基本信息

• 插件名称：W3 Total Cache（主流WordPress缓存插件）
• 全球安装量：超100万次
• 漏洞编号：CVE-2025-9501
• 发现者：研究人员“wcraft”
• 影响版本：2.8.13版本之前的所有版本
• CVSS评分：9.0（严重级别）

二、漏洞原理

插件的_parse_dynamic_mfunc函数使用PHP的eval()函数执行缓存页面评论中嵌入的代码。攻击者可在评论中注入特定恶意代码，插件会将其视为合法指令直接执行，形成后门。

三、补丁修复失败的过程

厂商修复被形容为“安全马戏团”，三版补丁均未解决漏洞：

1. 2.8.13版本：用str_replace移除恶意标签，但逻辑简单。攻击者构造嵌套令牌（如“rcercesecsec”），剔除中间部分后剩余字符会重组为有效令牌，防御失效。
2. 2.8.14版本：增加更多检查，但漏洞仍存在。
3. 2.8.15版本：通过检测标签后空格（正则\s+）拦截攻击，但忽视原代码允许“零空格”（正则\s*）的特性，攻击者删除空格即可绕过。

四、攻击条件

攻击者需满足三个条件：

1. 获取管理员配置的W3TC_DYNAMIC_SECURITY安全令牌（一串秘密字符串）；
2. 网站允许未登录用户发布评论；
3. 页面缓存功能处于开启状态。

五、安全风险与建议

• 风险：尽管攻击条件限制了范围，但100万+安装量的插件中，符合条件的受害者基数庞大。
• 安全建议：
  1. 立即升级至最新版本；
  2. 审计W3TC_DYNAMIC_SECURITY常量唯一性，确保未泄露；
  3. 限制未验证用户的评论权限；
  4. 审查2025年10月以来的评论日志，排查异常代码注入痕迹。

总结：漏洞因代码执行机制存在后门，三版补丁均被绕过，需通过多维度措施防范，单纯依赖更新不足。 一站式数字化解决方案服务商 —— 专业提供软件开发、网站设计、APP 与小程序开发，搭载低费率支付通道，结合创意广告设计，助力企业全链路数字化升级。

• 使用本网站请联系客服
• 点击关注微信公众号：乐鱼网络
• 点击-在线客服