IT之家 12 月 25 日消息，科技媒體 cyberkendra 昨日（12 月 24 日）發(fā)布博文，報(bào)道稱 WordPress 緩存插件 W3 Total Cache 陷入安全泥潭，該插件擁有超過(guò) 100 萬(wàn)的安裝量，但其針對(duì) CVE-2025-9501 漏洞連續(xù)發(fā)布的三個(gè)補(bǔ)丁均宣告失敗。
IT之家注：W3 Total Cache 是個(gè)主流 WordPress 緩存插件，全球站點(diǎn)裝機(jī)量超過(guò) 100 萬(wàn)，近期爆發(fā)嚴(yán)重安全危機(jī)（CVE-2025-9501），根源在于插件處理動(dòng)態(tài)內(nèi)容的機(jī)制。
研究人員“wcraft”最初向 WPScan 披露該漏洞時(shí)，它影響 2.8.13 之前的所有版本，CVSS 評(píng)分為 9.0，被評(píng)為“嚴(yán)重”級(jí)別。
W3 Total Cache 的 _parse_dynamic_mfunc 函數(shù)使用 PHP 的 eval () 函數(shù)來(lái)執(zhí)行緩存頁(yè)面評(píng)論中嵌入的代碼。雖然該設(shè)計(jì)旨在提升動(dòng)態(tài)頁(yè)面的加載效率，但也為黑客留下了后門，只要攻擊者能在評(píng)論中注入特定代碼，插件就會(huì)將其視為合法指令并直接執(zhí)行。
廠商的修復(fù)過(guò)程被研究人員形容為“安全馬戲團(tuán)”：
2.8.13 版本試圖用 str_replace 移除惡意標(biāo)簽，但邏輯簡(jiǎn)單粗暴：攻擊者只需將安全令牌嵌套（如構(gòu)造 "rcercesecsec"），當(dāng)程序剔除中間的 "rcesec" 后，剩余字符會(huì)自動(dòng)重組為有效令牌，令防御失效。
2.8.14 版本增加了更多檢查，但漏洞依然存在。
隨后的 2.8.15 版本試圖通過(guò)檢測(cè)標(biāo)簽后的空格（正則 \s+）來(lái)攔截攻擊，卻忽視了原代碼允許“零空格”（正則 \s*）的特性。攻擊者只需刪除標(biāo)簽與令牌間的空格，即可再次輕松穿透防線。
盡管漏洞利用極其簡(jiǎn)單，但攻擊者仍需滿足三個(gè)特定條件：
首先，必須獲取管理員配置的 W3TC_DYNAMIC_SECURITY 安全令牌（通常為一串秘密字符串）；
其次，網(wǎng)站必須允許未登錄用戶發(fā)布評(píng)論；
最后，頁(yè)面緩存功能必須處于開啟狀態(tài)。
雖然這些條件限制了攻擊面，但在龐大的用戶基數(shù)下，符合條件的受害者數(shù)量依然龐大。
鑒于補(bǔ)丁屢修屢破的現(xiàn)狀，單純依賴更新已不足以確保安全。安全專家建議，管理員在升級(jí)至最新版本的同時(shí)，必須立即審計(jì) W3TC_DYNAMIC_SECURITY 常量的唯一性，確保其未被泄露。
此外，該安全公司建議暫時(shí)限制未驗(yàn)證用戶的評(píng)論權(quán)限，并重點(diǎn)審查 2025 年 10 月以來(lái)的評(píng)論日志，排查是否存在異常代碼注入痕跡。
廣告聲明：文內(nèi)含有的對(duì)外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。