TeamUpdraft 披露其 teamupdraft.com 网站在 10 月 17-18 日周末遭未授权访问，客户数据库中的 UpdraftCentral、UpdraftVault 和 UpdraftClone 连接密钥可能被窃取，攻击者借此向 WordPress 站点植入后门插件。
为什么值得看：事件说明 UpdraftCentral 连接密钥泄露后如何被用来向 WordPress 站点下发后门插件，并给出可自查的 IOC 与处置步骤。
Amazon 威胁情报团队确认，在 PHP2Shell 漏洞公开披露前四天（10 月 17 日）就已在 MadPot 蜜罐中观测到利用尝试，涉及 CVE-2026-109618 与 CVE-2026-109619，这两个漏洞可对近十年发布的 PHP 版本（最早至 5.4）实现免认证 RCE 与服务器接管。
同一件事，精选收录的是《Amazon 称 PHP2Shell 漏洞 CVE-2026-109618 与 CVE-2026-109619 在公开披露前 4 天已被尝试利用》
CVE-2026-112832 影响 CozyThemes 的 WordPress 插件 Rootblox 至 1.0.6 版本，属于 PHP 文件包含语句文件名控制不当导致的本地文件包含漏洞。Sploitus 已聚合该漏洞的利用代码。
PHP2Shell 公开了 CVE-2026-109618 的 PoC，称 PHP 8.5.4 在处理分块 multipart 请求时可能存在缓冲区溢出，问题发生在 RINIT 模块执行之前，RSHUTDOWN 模块不执行，PS(httpSESSIONVars) 变量在 Apache worker 中留下残留引用。
作者发布免费脚本 check.sh，用于检测服务器上的 PHP 是否受 PHP2Shell（CVE-2026-109618 与 CVE-2026-109619）影响，这两个漏洞可让攻击者在无需密码的情况下接管服务器。
为什么值得看：脚本可逐项列出服务器上的 PHP 部署并给出 PASS、VULNERABLE 等结论，便于运维自查是否受 PHP2Shell 影响。
GitHub 上公开了针对 WordPress Gecko Theme（JanStudio Gecko）<= 1.9.8 的免认证本地文件包含（LFI）漏洞 CVE-2025-69080 的利用脚本，CVSS 评分 8.1。该脚本用 Python 3.6+ 与 requests 库运行，可读取服务器上的任意文件，包括含数据库凭据的 wp-config.php。
安全研究者 ratiros01 公开了 CVE-2014-9173 的利用代码，该漏洞是 Google Document Embedder 中的基于时间的盲 SQL 注入。PoC 已发布，原文未说明受影响版本区间与修复情况。
研究者 Lulztigre 公开 Balbooa Forms（com_baforms）Joomla 组件的 PoC 与检测模板，涉及两个免认证漏洞，已在 2.4.3.2 修复。
为什么值得看：公开的 Python PoC 与 Nuclei 模板覆盖两个漏洞，并说明检测模式不写文件、不触发真实扣款，便于在授权范围内验证。
php2shell 公开了针对 PHP 请求状态漏洞 CVE-2026-109618 与 CVE-2026-109619 的可复现 HTTP PoC，利用链可泄露 Zend MM 堆基址与已加载的 libphp 基址，并通过 zif_system 执行短命令。
同一件事，精选收录的是《PHP 核心漏洞 CVE-2026-109618 与 CVE-2026-109619 补丁前已出现利用，CVSS 9.4》
PHP 团队发布紧急更新，修复被合称 PHP2Shell 的两个漏洞 CVE-2026-109618 和 CVE-2026-109619，两者严重性评分均为 9.2，修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
同一件事，精选收录的是《PHP 修复 CVE-2026-109618 与 CVE-2026-109619 免认证 RCE 漏洞，已出现利用》
php2shell 公开了针对 CVE-2026-109618 与 CVE-2026-109619 的 PoC，利用 PHP session.upload_progress 实现免认证 RCE。
Cisco Talos 正在跟踪 PHP core 中两个免认证 RCE 漏洞 CVE-2026-109618 和 CVE-2026-109619，两者 CVSS v4.0 评分均为 9.2，影响自 5.4 以来的所有 PHP 构建版本，普通 HTTP 请求即可触发，且在任何应用代码执行前即可利用。
同一件事，精选收录的是《PHP 将发布带外更新修复两个 CVSS 9.2 的 RCE 漏洞》
有人公开了 WP2Shell 脚本，把 WordPress 的 CVE-2026-63030 路由混淆与 CVE-2026-60137 SQL 注入串联，实现免认证创建管理员并通过主题编辑器上传 webshell。
为什么值得看：公开脚本把 WordPress 两个漏洞串成免认证 RCE 链，并给出探测、拖库、建管理员到上传 webshell 的完整步骤与 IoC。
公开的 PoC 脚本针对 WordPress 插件 InstaWP Connect – 1-click WP Staging & Migration 的 CVE-2024-2667，该插件 0.1.0.22 及之前所有版本因 REST API 端点 /wp-json/instawp-connect/v1/config 文件校验不足，可被未认证攻击者上传任意文件。
攻击者利用 TeamUpdraft 安全事件中泄露的 UpdraftCentral 连接密钥，在受影响的 WordPress 站点上执行命令并安装恶意插件以建立持久访问。
同一件事，精选收录的是《UpdraftCentral 密钥泄露致 WordPress 站点被植入后门插件》
针对 WordPress File Manager（wp-file-manager）插件 6.9 之前版本的 CVE-2020-25213 利用脚本公开，攻击者可远程上传并执行任意 PHP 代码。
PHP 发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复可导致免认证远程代码执行的 CVE-2026-109618 与 CVE-2026-109619，PHP 安全团队将两者评为 Critical（CVSS v4.0 9.2）。
为什么值得看：材料给出两个 PHP 解释器漏洞的修复版本、在野利用时间线与临时缓解措施，可据此排查受影响部署。
Nuclei 模板通过 PR #17444 新增 CVE-2026-82186 检测，指向 WordPress 插件 WPLP Cookie Consent < 4.4.2 的认证 SQL 注入。该漏洞需认证后才能触发，影响 4.4.2 之前的版本。
Nuclei 模板库合并 PR #17441，新增针对 GEO my WP 免认证 SQL 注入漏洞 CVE-2026-52715 的检测模板。该提交由 HaroonArshad-53 提交，正文未给出受影响版本与修复信息。
Nuclei 模板仓库提交新增 CVE-2026-18315 的检测模板，该漏洞是 WordPress TrueBooker 插件中的严重免认证授权绕过，攻击者可借此接管用户账号。新增的 YAML 文件包含漏洞信息、影响、修复步骤与参考链接。
有人公开了针对 WordPress 7.0.3 之前版本的 CVE-2026-64638 利用工具，声称无需认证即可从 XSS 一路走到 RCE。
为什么值得看：公开的利用链把 XSS、Application Password 窃取与主题/插件编辑器写入串成免认证 RCE，并说明了各阶段依赖。
公开的 PoC 针对 LearnPress Plugin < 4.2.0 的 CVE-2022-45808，该插件未对 order_by 参数做过滤与转义就拼入 SQL 语句，导致无需认证的时间盲注。
有人公开了 CVE-2026-93300 的 Python PoC，该漏洞是 WordPress 插件 EventON - Subscriber（eventon-subscriber）≤ 1.4.5 中 email 参数导致的未认证 SQL 注入，CVSS 7.5，截至 2026-10 尚无修复版本。
nuclei-templates 合并 PR #17428，新增针对 CVE-2026-49772 的检测模板，该漏洞是 The Events Calendar 的免认证盲 SQL 注入。模板提交者与合并信息来自该 PR 记录。
为什么值得看：Nuclei 模板库合并了针对 The Events Calendar 免认证盲注的检测模板，可用于自查站点是否暴露。
Sploitus 收录了 WordPress 插件 ACF City Selector（版本 <= 1.14.0）任意文件上传漏洞 CVE-2024-56264 的利用脚本，攻击者可上传恶意 PHP 文件（web shell）并在服务器上执行任意命令，最终实现 RCE。
GitHub 上公开了 WordPress Quiz Maker 插件 CVE-2024-6028 的 PoC，该插件 6.5.8.3 及之前版本因对 ays_questions 参数转义不足，存在基于时间的 SQL 注入，未认证攻击者可借此从数据库提取敏感信息。
攻击者利用窃取的 UpdraftCentral 仪表盘私钥，通过 UpdraftPlus 的远程管理通道下发 plugin.upload_plugin 命令，在已连接的 WordPress 站点上安装并激活后门插件，活动集中在 10 月 18 日 15:32 至 19 日 09:23。
为什么值得看：材料给出按能力而非用户名排查后门账号的 SQL 与日志特征，并说明删键前先清后门的处置顺序。
SOCRadar 披露俄语背景团伙 CyberXero 将 Claude Code 与开源自主渗透 Agent PentAGI 接入攻击流水线，一次自动化执行扫描 4708 个公网目标、拿下 429 个 WordPress 管理后台，并在 61 秒内植入 32 个 WebShell。
Patchstack 披露 WordPress 插件 Bricksforge 存在免认证任意文件上传漏洞 CVE-2026-85097，CVSS 10.0，影响 3.1.8.9 及之前版本，攻击者可上传并执行 PHP 代码实现 RCE，修复版本为 3.1.8.10。
为什么值得看：Patchstack 结合自身遥测还原了攻击载荷结构与 IP 分布，并给出可落地的日志检测特征。
WordPress 7.1.3 于 2026 年 10 月 6 日发布，包含七项安全修复和四项缺陷修复，修复已回移至至少 6.6 分支。
为什么值得看：文章逐条说明 7.1.3 修复的七处问题及各自所需权限，便于站点管理员判断升级优先级。
Patchstack 遥测显示，攻击者自 2026 年 10 月 4 日起通过 WPC Product Bundles for WooCommerce 的 CVE-2026-93836 和 Ninja Forms 的 CVE-2026-94504 两个无需认证的存储型 XSS 漏洞，向管理员浏览器投递同一份 imgcdn1.com/fz/x.js 载荷。
为什么值得看：同一植入体经两个不同插件的存储型 XSS 投递，并留下四条互相独立的回访通道，可作持久化检测的参照。
Exploit-DB 公开了 WordPress 7.0.2 路径穿越漏洞 CVE-2026-87902 的 PoC 脚本，该漏洞已在 7.1.2 和 7.0.6 修复，并向下回溯至 4.7.37。
为什么值得看：公开的 PoC 脚本与两阶段请求流程，展示了模板解析路径穿越如何借 PEAR 写入并执行 PHP 文件。
Check Point 表示观测到 CVE-2026-85102 和 CVE-2026-93616 两个 CVSS 9.8 的免认证漏洞正被实际利用，二者影响 Security Gateway 与 Security Management 产品，可导致远程代码执行，修复程序已发布。
为什么值得看：Check Point 自述观测到两个 9.8 分免认证漏洞被实际利用，并同时给出 F5 BIG-IP 与 WordPress 的在野利用进展。
Patchstack 披露 Elementor Website Builder 4.3.0 与 4.3.1 存在无需认证的 CSRF 提权问题，CVSS 8.8，影响超过 1000 万个站点。
为什么值得看：文章拆解了 Elementor 在 4.3.0 与 4.3.1 中绕过 REST nonce 校验的成因，并给出 4.3.2 的修复写法，便于开发者对照自查。
Patchstack 观察到 CVE-2026-87902 在 WordPress 7.1.2 发布当天即遭利用，攻击流量已从探测核心文件推进到借 pearcmd.php 的 config-create 向 /tmp 写入攻击者可控的 PHP 文件。
为什么值得看：文章记录了从探测到借 pearcmd 写文件的变化过程，并给出日志与主机侧的排查线索。
WordPress 于 2026 年 9 月 22 日发布 7.1.2 安全版本，修复页面模板解析中的免认证本地文件包含漏洞 CVE-2026-87902，影响 WordPress Core 4.7.0 至 7.1.1，CVSS 4.0 评分 9.2，归类为 CWE-98。
为什么值得看：通告给出受影响版本区间、利用前提与修复版本，运维可据此判断站点是否暴露在免认证文件包含风险下。
WordPress 7.1.1 于 9 月 17 日发布，修复了 pwn.ai 的 Paulos Yibelo 报告的 Click2Shell 漏洞，该漏洞将 CSRF 与选择器注入串联，把一次点击变成远程 shell。
为什么值得看：文章拆解了同一 URL 参数在前后端被两种方式解析所导致的 CSRF 到 RCE 链条，并说明 7.1.1 的修复方式。
The DFIR Report 发现一台暴露的攻击服务器，其上的 Bissa scanner 围绕 React2Shell（CVE-2025-55182）扫描数百万个目标，日志显示确认 900 余次成功利用。
为什么值得看：报告基于一台暴露的攻击服务器还原了从大规模扫描、命中评分到凭据归集与优先排序的完整流水线，可看到攻击方如何用 AI 工具编排作业。