紧急预警：WordPress 表单插件爆出严重 RCE 漏洞，全球已有网站被入侵

原创

RCS-TEAM安全团队
RCS-TEAM安全团队

RCS-TEAM

2026年6月9日 10:44
北京

在小说阅读器读本章

去阅读

紧急预警：WordPress 表单插件爆出严重 RCE 漏洞，全球已有网站被入侵

一句话总结：如果你网站用了 Everest Forms Pro，立刻升级。攻击者已经在利用这个漏洞接管你的 WordPress 后台了。

事情是这样的

6 月 6 日，安全厂商 Wordfence 发布紧急公告：WordPress 知名表单插件 Everest Forms Pro 存在一个 Critical 级别的远程代码执行漏洞（CVE-2026-3300），攻击者无需任何登录认证，就能在服务器上执行任意 PHP 代码。

更糟糕的是——攻击者已经在大规模利用这个漏洞了。

Wordfence 的防火墙从 4 月 13 日开始就拦截了 超过 29,300 次攻击尝试，而且这些攻击全部来自真实 IP，不是扫描器在碰运气。

漏洞原理：一个 eval() 引发的血案

Everest Forms Pro 的 Complex Calculation（复杂计算）功能有一个要命的实现：

// 简化后的漏洞代码示意
$input = sanitize_text_field($_POST['value']);
$code = '$result = ' . $input . ';';
eval($code);  // ← 这里直接执行了用户输入

问题出在 sanitize_text_field() 这个函数——它不会转义单引号 '，也不会过滤其他能影响 PHP 语法的字符。

攻击者只需要在表单字段里提交这样的值：

' . wp_insert_user(array('user_login'=>'diksimarina','user_pass'=>'hack123','role'=>'administrator')) . '

就能闭合原始字符串，注入自己的 PHP 代码，然后利用 // 注释掉后面的内容，让整行代码正常执行。

结果？攻击者直接在你的 WordPress 里创建了一个管理员账号。

攻击者做了什么？

根据 Wordfence 的遥测数据，攻击者创建的用户名是 diksimarina，然后利用这个管理员账号：

▪安装 Webshell 后门

▪修改网站内容

▪访问数据库，窃取用户信息

▪进一步横向渗透内网

攻击主要来自两个 IP 地址：

▪202.56.2[.]126

▪209.146.60.26

但安全研究员 Pasquale Pillitteri 表示还有更多攻击 IP 没有被公开。

影响范围有多大？

Everest Forms 是 WordPress 生态里最流行的表单插件之一，免费版 + Pro 版合计安装量超过 20 万。受影响版本：

▪Everest Forms Pro ≤ 1.9.12（全部受影响）

▪免费版 Everest Forms 目前暂未报告受影响

关键数据：

▪漏洞提交时间：2026 年 2 月（研究者 h0xilo 通过 Wordfence 提交）

▪补丁发布时间：2026 年 3 月 18 日

▪首次发现实际利用：2026 年 4 月 13 日

▪已拦截攻击次数：29,300+

▪CVSS 评分：Critical（10.0）

你现在应该做什么？

第一步：确认你是否受影响

登录你的 WordPress 后台，进入 插件 → 已安装的插件，检查是否有 Everest Forms Pro，以及版本号是否 ≤ 1.9.12。

第二步：立即升级到最新版本

如果受影响，马上升级到 1.9.13 或更高版本。

# 如果你用 WP-CLI，一条命令搞定：
wp plugin update everest-forms

第三步：检查是否已经被入侵

这是很多人会忽略的一步——升级不代表安全了，因为攻击者可能已经创建了后门账号。

检查管理员账号：

▪进入 WordPress 后台 → 用户 → 所有用户

▪查找是否有可疑的管理员账号，特别是名为 diksimarina 的

▪检查是否有你不认识的管理员或编辑角色用户

检查日志文件：

# 搜索包含攻击者用户名的日志
grep -r \"diksimarina\" /var/log/nginx/ 2>/dev/null
grep -r \"diksimarina\" /var/log/apache2/ 2>/dev/null

# 搜索 wp_insert_user 调用
grep -r \"wp_insert_user\" /path/to/wordpress/wp-content/uploads/ 2>/dev/null

检查可疑文件：

# 查找最近 30 天内修改的 PHP 文件（可能是 Webshell）
find /path/to/wordpress/ -name \"*.php\" -mtime -30 -type f

# 查找常见的 Webshell 特征
grep -rl \"eval(\" /path/to/wordpress/wp-content/uploads/ 2>/dev/null
grep -rl \"base64_decode\" /path/to/wordpress/wp-content/uploads/ 2>/dev/null
grep -rl \"gzinflate\" /path/to/wordpress/wp-content/uploads/ 2>/dev/null

第四步：封锁攻击 IP

在防火墙或 Nginx/Apache 配置中封锁已知攻击 IP：

# Nginx 示例
deny 202.56.2.126;
deny 209.146.60.26;

第五步：加强 WordPress 安全

# 1. 修改所有管理员密码（强制所有用户重新登录）
wp user list --role=administrator --field=user_login | xargs -I{} wp user update {} --user_pass=$(openssl rand -base64 16)

# 2. 限制 XML-RPC 访问（防止暴力破解）
# 在 Nginx 中添加：
# location ~* /xmlrpc.php { deny all; }

# 3. 安装 Wordfence 或 Sucuri 防火墙插件
wp plugin install wordfence --activate

更深层的教训：WordPress 插件安全不是小事

这个漏洞再次暴露了 WordPress 生态的一个系统性风险：

①eval() 在 Web 应用里就是定时炸弹——任何接受用户输入再 eval 的代码，最终都会被利用。这不是\"如果\"的问题，是\"什么时候\"的问题。

②补丁发布 ≠ 安全——这个漏洞 3 月 18 日就打了补丁，但 4 月 13 日就有人开始利用了。中间有一个月的窗口期，很多网站管理员根本没看到更新通知。

③WordPress 的安全责任在站长自己——不像 SaaS 平台自动更新，WordPress 是开源自托管，插件更新、安全检查、后门排查，全部靠站长自己。

给所有 WordPress 站长的建议

总结

CVE-2026-3300 不是一个\"理论上的风险\"——攻击者已经在用它接管网站了。如果你的 WordPress 网站用了 Everest Forms Pro，现在就去检查。

不要等到网站被挂黑页、数据库被拖、客户信息被卖，才后悔没有及时升级。

安全这件事，永远比你想的更紧急。

参考资料：

▪Wordfence 漏洞公告：https://www.wordfence.com/threat-intel/vulnerabilities

▪BleepingComputer 报道：https://www.bleepingcomputer.com/news/security/critical-everest-forms-pro-flaw-exploited-to-take-over-wordpress-sites/

▪CVE-2026-3300 NVD 页面：https://nvd.nist.gov/vuln/detail/CVE-2026-3300

SECURITY · RCS-TEAM

关注 RCS-TEAM 安全团队

聚焦安全研究、漏洞分析、攻防技术与行业观察
       持续输出高质量安全内容

长按识别二维码，立即关注

点击下方公众号名片关注

微信生态内建议同时插入官方“公众号名片”组件，提升关注转化

COMMUNITY · SECURITY GROUP

加入 RCS-TEAM 安全交流群

想继续交流漏洞分析、攻防实践和文章里的细节补充，欢迎扫码进群。

群内会不定期分享复现思路、工具经验和最新讨论。

扫码即可加入交流，二维码失效可在后台回复「加群」。

实战问题、漏洞思路、工具踩坑都可以在群里继续聊
       也欢迎直接反馈你想看的后续选题

扫码加入交流群

若二维码失效或群满，请在后台回复「加群」