近日，WordPress官方紧急发布安全更新，针对其核心登录页面中存在的高危漏洞“XSS2Shell”推出7.0.3版本补丁。该漏洞编号为CVE-2026-64638，已被黑客大规模利用，全球67个国家和地区的超过1.1万个网站受到影响，引发网络安全领域高度关注。
据安全通报显示，“XSS2Shell”漏洞源于WordPress登录流程中的双重HTML过滤机制缺陷。当用户尝试使用不存在的账号登录时，系统会将输入内容反馈至错误提示信息中。由于前后端过滤规则存在差异，部分恶意代码可能绕过安全检测，被浏览器解析为可执行的HTML元素，从而构成跨站脚本攻击。值得注意的是，该漏洞本身无法直接控制服务器，但攻击者可结合WordPress的Java接口、REST API及同源策略，在受害网站域名下实施进一步操作。
若受害者以管理员身份登录时访问恶意链接，攻击者可利用其权限执行敏感操作。典型攻击路径包括：获取应用程序密码、创建含恶意Java的页面、上传包含PHP代码的插件，最终实现服务器端代码执行。安全专家指出，完整攻击链需配合社会工程学手段，诱导已登录的高权限用户触发恶意内容，才能将漏洞影响从前端扩展至后端系统。
WordPress官方确认，该漏洞影响所有历史版本产品，强烈建议7.0系列用户立即升级至7.0.3版本。网站管理员除完成系统更新外，还需重点检查是否存在异常管理员账号、未经授权的应用程序密码或可疑插件安装记录，以排查潜在入侵痕迹。此次事件再次凸显及时更新系统补丁和强化权限管理的重要性。
