2026 年 CMS 批量入侵事件：WordPress 插件、Craft、Joomla JCE

ACSC 通报的内容

预警称，攻击者在全球范围内扫描网站（其中很多是中小企业），寻找可未授权上传文件、远程执行代码、服务端请求伪造或反序列化的漏洞，然后植入 Webshell，用于篡改网页、窃取凭据、托管恶意软件，或作为进一步入侵内网的跳板。

我的网站受影响吗？

• 列出已安装插件及版本（WordPress 可在插件页面查看，或用 WP-CLI 运行 wp plugin list），对照上表和各厂商的修复版本。
• 检查上传目录里有没有 PHP 文件，以及最近被改动、但不是你部署的 PHP 文件。
• 检查新增的管理员账号、计划任务，以及 Web 服务器发起的陌生外连。

# Recently changed PHP files in a web root (adjust the path and days)
find /var/www -name '*.php' -mtime -30 -print
# PHP files where none should exist
find /var/www -path '*/uploads/*' -name '*.php' -print

怎么修复

• 更新或删除列表中的每个组件，不用的插件直接删掉。
• 如果发现 Webshell，按已被入侵处理：先保留一份副本供调查，再从可信备份恢复或重建，并更换数据库、后台、FTP/SSH 和 API 凭据。
• PHP 运行时本身也要打补丁，见 PHP2Shell 修复指南。

常见问题