WordPress 外掛 XSS 遭濫用：更新後仍要排查持續存取

圖片：TechLab 自製資訊圖

TechLab 編輯部（譯）·2026-10-12

WordPress 網站管理員近期需優先檢查兩款常用外掛。iThome 報道引述資安公司 Patchstack 指出，攻擊者正利用 Ninja Forms 及 WPC Product Bundles for WooCommerce 的跨網站指令碼（XSS）漏洞，誘使已登入的管理員在後台處理訂單或表單資料時觸發惡意程式碼，繼而植入後門及建立管理員帳號。對使用 WooCommerce 經營網店、以表單收集查詢或客戶資料的網站而言，風險不只在外掛本身，亦涉及後台帳戶和網站控制權。

不過，外掛的安裝量不等於已被入侵的網站數目。Ninja Forms 的安裝量超過 50 萬，WPC Product Bundles for WooCommerce 超過 3 萬，這些數字反映潛在受影響範圍，而非攻擊成功的統計。網站營運者也不宜將「完成更新」視為唯一處置：若管理員曾在漏洞未修補期間檢視可疑內容，修補會封堵已知入口，卻未必自動移除攻擊者已留下的存取方式。

這次事件為何難在清理，而非只在修補

iThome 報道指出，攻擊者把惡意 JavaScript 放入訂單資料或表單提交內容；當管理員在登入狀態下開啟相關資料，程式碼便可能在其瀏覽器中執行。其後，攻擊者可安裝惡意外掛，並建立多重持續存取管道，包括管理員帳號、隱藏登入途徑及檔案管理工具。這種攻擊鏈的關鍵，是將原先由前台輸入資料引起的問題，延伸至具有高權限的後台工作流程。

對中小企而言，這亦說明網站安全不應只由開發或代管公司承擔。客服、營運及網店人員每天處理訂單、查詢與報名資料，正是這類內容會被打開的場景。若帳戶權限分配過寬，或多人共用一個管理員登入，事後便較難判斷哪些帳號曾接觸可疑資料，以及異常變更由誰引入。這是根據已披露攻擊方式作出的營運風險分析，並非所有使用該兩款外掛的網站均已失守。

受影響版本已明確，更新應先核對版本號

iThome 報道列出，Ninja Forms 的 CVE-2026-94504 影響 3.15.3 或以前版本，CVSS 評分為 7.2，開發方已在 3.15.4 修補；WPC Product Bundles for WooCommerce 的 CVE-2026-93836 同樣獲 7.2 分，影響 8.6.6 或以前版本，並在 8.6.7 修補。營運者應先盤點正式網站、測試站及遺留網店是否安裝相關外掛，再確認實際版本，避免只檢查主網站而漏掉由舊供應商維護的副站。

更新前仍應依既有變更流程備份，尤其是依賴 WooCommerce 訂單流程或自訂表單的網站；更新後則要確認前台提交、電郵通知及結帳流程仍然正常。Patchstack 建議使用者升級至已修補的最新版本。對沒有充分測試環境的團隊來說，短暫的功能驗證成本通常低於後台遭接管後的復原成本，但更新動作不能取代入侵跡象的檢查。

排查應由帳號、外掛與檔案三條線同步進行

若網站在修補前曾使用受影響版本，管理員可先檢視 WordPress 管理員帳號清單，核對帳號名稱、電郵地址、建立時間及權限是否符合內部紀錄；任何無法識別或不符合職責的高權限帳號，都應按既定事故應變程序處理。接着檢查已安裝外掛，留意是否出現未經批准、用途不明或近期新增的項目。由於 iThome 報道提及惡意外掛及檔案管理工具可能成為持續存取管道，單靠刪除最初有漏洞的外掛，未必足以完成清理。

同時，應由具備網站維護權限的人員覆核檔案異動、登入紀錄與管理員操作紀錄，並檢查主機層面的排程、登入設定及其他持續存取機制是否有異常。這些工作宜保留紀錄，讓日後能比對清理前後狀態；如已發現可疑管理員、未知外掛或不明檔案，則應盡快交由內部資安人員、代管服務商或事件應變專家評估，而非在未釐清影響前隨意刪改證據。

管理流程要減少「管理員看內容」的暴露面

這次個案也提醒 WordPress 營運團隊，表單與訂單內容雖然是日常業務資料，仍可能成為針對後台人員的攻擊載體。可行的改善方向包括：限制管理員帳號數目、按職務授予最低所需權限、避免共用登入資料，並建立外掛更新與審核節奏。處理來自陌生客戶或異常格式的內容時，也應讓相關人員知道需提高警覺，並有明確渠道回報異常，而不是把每一宗可疑資料交由高權限帳戶直接處理。

Patchstack 發現兩款外掛遭利用的攻擊均載入來自同一網域的 JavaScript 酬載，因此認為活動可能由同一威脅行為者發起。下一步值得留意的是，相關攻擊是否持續擴大至更多外掛或網站工作流程；對網站擁有人來說，眼前較實際的工作是完成版本核對、更新及入侵跡象排查，並確保日後即使某個外掛出現漏洞，也不會輕易演變成長期的後台控制權問題。