共 3 篇。
WordPress Core 4.7 至 7.1.3 版本存在一個 CVSS 8.1 的遠端程式碼執行漏洞，攻擊者可在 WordPress 執行完整套件升級時，透過可預測的暫存目錄路徑觸發安裝程式並執行程式碼。Wordfence 在修補版本發布後 24 小時內攔截 62,969 次攻擊嘗試，攻擊者持續輪詢 setup-config.php 等路徑試圖抓住短暫的升級窗口。
6 可證明1 推論2 缺口繼續閱讀 →
PHP 官方 10 月 21 日釋出 8.5.12、8.4.27、8.3.36、8.2.35，修補兩個 CVSS v4.0 9.2、不需登入就能遠端執行程式碼的漏洞。編號與「RCE」先在禁運期結束前外洩，官方隔天才正式確認；資安公司也回報修補釋出前後已有野外攻擊。真正麻煩的是另一個數字：依 Shodan 統計，回報版本的對外 PHP 主機有 59% 跑 8.1 以下，沒有官方修補版可裝。（2026-10-22 更新）
4 可證明2 推論3 缺口繼續閱讀 →
SOCRadar 2026 年 10 月揭露俄語初始存取掮客 CyberXero：一人帶著最多 51 個 Claude Code 代理，自動化打 WordPress，也手工偵察烏克蘭能源業者，帶走超過 62.8 萬名烏克蘭人的資料。但整份報告之所以存在，是因為他把工作目錄、AI 對話紀錄和明文 token 開在公網上。AI 代理的工作紀錄，就是一份憑證庫。
3 可證明3 推論3 缺口繼續閱讀 →