新聞

9月17日內容管理平臺WordPress發布7.1.1版，一共修補11個資安弱點，在資安公司Pwn.ai揭露尚未取得CVE編號的重大漏洞Click2Shell，有研究人員也公布他們通報的漏洞細節。

資安研究員Rafie Muhammad指出，他在9月上旬向WordPress通報資安漏洞Comment2Shell（CVE-2026-93485），此為預先授權的零點擊弱點，攻擊者可透過匿名的特製留言，在未通過身分驗證的狀態下，在特定的區塊或佈景主題的渲染過程，使用即時的JavaScript事件處理程式，把良性的HTML轉換成惡意的HTML內容，進而將跨網站指令碼（XSS）轉變成遠端程式碼執行（RCE）攻擊，CVSS嚴重程度評為7.1分。

Muhammad強調，攻擊流程只需載入網頁就能啟動 ，攻擊者甚至可藉由管理員的連線階段（session）上傳外掛檔案，進一步於WordPress提升權限並執行程式碼。