WordPress頭部插件曝9/10分高危漏洞，官方連發三補丁全失效

IT之家 12 月 25 日消息，科技媒體 cyberkendra 昨日（12 月 24 日）發布博文，報道稱 WordPress 緩存插件 W3 Total Cache 陷入安全泥潭，該插件擁有超過 100 萬的安裝量，但其針對 CVE-2025-9501 漏洞連續發布的三個補丁均宣告失敗。

IT之家注：W3 Total Cache 是個主流 WordPress 緩存插件，全球站點裝機量超過 100 萬，近期爆發嚴重安全危機（CVE-2025-9501），根源在于插件處理動態內容的機制。

研究人員“wcraft”最初向 WPScan 披露該漏洞時，它影響 2.8.13 之前的所有版本，CVSS 評分為 9.0，被評為“嚴重”級別。

W3 Total Cache 的 _parse_dynamic_mfunc 函數使用 PHP 的 eval () 函數來執行緩存頁面評論中嵌入的代碼。雖然該設計旨在提升動態頁面的加載效率，但也為黑客留下了后門，只要攻擊者能在評論中注入特定代碼，插件就會將其視為合法指令并直接執行。

廠商的修復過程被研究人員形容為“安全馬戲團”：

• 2.8.13 版本試圖用 str_replace 移除惡意標簽，但邏輯簡單粗暴：攻擊者只需將安全令牌嵌套（如構造 "rcercesecsec"），當程序剔除中間的 "rcesec" 后，剩余字符會自動重組為有效令牌，令防御失效。
• 2.8.14 版本增加了更多檢查，但漏洞依然存在。
• 隨后的 2.8.15 版本試圖通過檢測標簽后的空格（正則 \s+）來攔截攻擊，卻忽視了原代碼允許“零空格”（正則 \s*）的特性。攻擊者只需刪除標簽與令牌間的空格，即可再次輕松穿透防線。

盡管漏洞利用極其簡單，但攻擊者仍需滿足三個特定條件：

• 首先，必須獲取管理員配置的 W3TC_DYNAMIC_SECURITY 安全令牌（通常為一串秘密字符串）；
• 其次，網站必須允許未登錄用戶發布評論；
• 最后，頁面緩存功能必須處于開啟狀態。

雖然這些條件限制了攻擊面，但在龐大的用戶基數下，符合條件的受害者數量依然龐大。

鑒于補丁屢修屢破的現狀，單純依賴更新已不足以確保安全。安全專家建議，管理員在升級至最新版本的同時，必須立即審計 W3TC_DYNAMIC_SECURITY 常量的唯一性，確保其未被泄露。

此外，該安全公司建議暫時限制未驗證用戶的評論權限，并重點審查 2025 年 10 月以來的評論日志，排查是否存在異常代碼注入痕跡。