WordPress上的PHP Everywhere插件曝出三个高危RCE漏洞

发布时间：2025-11-03 23:47:50 来源：技术快报 作者：人工智能

Bleeping Computer 报道称：安全研究人员在 WordPress 的插件“PHP Everywhere”插件中发现了三个严重的远程代码执行(RCE)漏洞，导致全球超过 3 万个使用该插件的曝出网站都受到了影响。据悉，个高该插件旨在方便管理员在页面、漏洞帖子、插件侧边栏、曝出或任何 Gutenberg 块中插入 PHP 代码，个高并借此来显示基于评估的漏洞 PHP 表达式的动态内容。

Wordfence 安全分析师指出，插件CVSS v3 评分高达 9.9 的曝出这三个漏洞，可被贡献着或订阅者所利用，个高且波及 2.0.3 及以下的漏洞所有 WordPress 版本。

只需发送带有‘短代码’参数设置的 PHP Everywhere 请求，任何订阅者都可利用该 RCE 漏洞，曝出并在站点上执行任何 PHP 代码。个高

贡献者可借助插件的元框来利用该 RCE 漏洞，前提是创建一则帖子，添加一个 PHP 代码元框，免费信息发布网然后进行预览。

具有 edit_posts 权限、并可添加 PHP Everywhere Gutenberg 块的贡献者们，都可利用该 RCE 漏洞。

在易受攻击的插件版本中，PHP Everywhere 并未默认指定‘仅管理员权限’可用的安全设置，结果留下了这一隐患。

尽管后两个漏洞因需要贡献者的权限级别而不那么容易被利用，但首个漏洞还是让业界感到惊诧不已。

举个例子，只要某个用户在网站上以‘订阅者’的身份登录，便足以获得相应的权限来执行恶意 PHP 代码。

不论怎样，可在网站上执行任意代码，都可能导致整个站点被攻击者所接管 —— 这也是所有网站安全事故中最糟糕的一种情况。

截图(来自：Wordfence)

在 2022 年 1 月 4 日发现了上述漏洞字后，Wordfence 团队很快就向 PHP Everywhere 作者通报了此事。

厂商于 2022 年 1 月 10 日发布了 3.0.0 版安全更新，由于需要大量重写代码，IT技术网所以版本号也发生了重大改变。

尴尬的是，尽管开发者行动迅速，但网站管理员普遍不怎么会定期更新其 WordPress 网站和插件。

由 WordPress.org 分享的统计数据可知，自 Bug 修复方案推出以来，3 万次安装中只有 1.5 万次更新了插件。

有鉴于此，考虑到三个 RCE 漏洞的严重性，我们在此强烈建议所有 PHP Everywhere 用户确保其已升级到最新可用的 3.0.0 版本。

需要注意的是，如果你在站点上使用了经典编辑器，则需要先卸载该插件、并找到替代解决方案，以在其组件上托管自定义的 PHP 代码。

因为 PHP Everywhere 的 3.0.0 版本仅支持基于 Block 编辑器的 PHP 片段，且作者不大可能致力于恢复落后的 Classic 功能。

相关文章