WordPress 的生態極度繁榮，全球數以百萬計的網站依賴這套開源內容管理系統（CMS）和數十萬個外掛延伸功能來建立不同類型的站點。這也讓 WordPress 成為攻擊者的頭號目標，而 零日漏洞（Zero-day） 更是其中最危險的一類 —— 因為攻擊在漏洞被公開或修補之前就已經開始。
在一篇針對 WordPress 外掛漏洞的 Zero-day 研究中，資安分析師透過技術逆向、弱點評估和實際 exploit 寫出了一系列示例，展示了外掛如何因為疏於防禦而被攻擊者利用。
近期的公開資訊與實際攻擊案例也證明了這不是理論，而是「正在發生中的威脅」。
最近的 WordPress 零日與活躍攻擊案例
Sneeit Framework RCE（遠端程式碼執行）
安全團隊發現 Sneeit Framework 外掛存在 遠端程式碼執行漏洞（RCE），嚴重等級高達 9.8/10。攻擊者可以利用該漏洞在網站上執行任意程式碼、建立後台管理員帳號，從而完全掌控網站。
攻擊在漏洞公開後即刻開始，在公開後的第一天就阻擋了超過 131,000 次攻擊企圖，顯示出攻擊者密切監控漏洞資訊並迅速發動攻擊。
修補建議： 立即更新到最新版本、刪除不必要的外掛並持續監控後台異常活動。
Fancy Product Designer 零日被主動利用
另一個外掛也被揭露存在被利用的 Zero-day 弱點，使得攻擊者能繞過檢查上傳任意可執行檔案，進而取得網站控制權。這是一種常見但極具破壞性的攻擊路徑：利用弱點上傳 Webshell 或後門工具，直接掌控整個站點。
修補建議： 若無法短期更新外掛，立即停用或卸載該外掛以降低風險。
Ultimate Member 零日攻擊歷史
Ultimate Member 是一個用於建立會員、社群系統的外掛，在 2023 年被發現存在 Zero-day 漏洞，使得未授權攻擊者可以提升權限、自行設定管理員帳號，進而操控網站。
這類漏洞往往被攻擊者利用以達到完全控制站點的目的 — 不只是植入惡意程式碼，甚至能竄改資料、控制使用者登入流程等。
為什麼這對 WordPress 站長而言比你想像中更危險？
- 插件使用率極高：某些外掛安裝量突破數十萬甚至百萬，但有漏洞就意味著大量站點同時受到威脅。
- 更新落後者多：即便有修補程式，網站管理者若未即時更新，仍然會被攻擊者掃描到並利用。
- 示例 PoC 的公開：安全研究與披露通常會公開可重複利用的詳細技術，因此攻擊者能迅速自動化攻擊。
例如在早期 Social Warfare 漏洞事件中（2019 年），Zero-day 漏洞一度被利用來注入惡意 JavaScript，使網站訪客自動載入惡意鏈結或釣魚頁面。
對 WordPress 站長的實務建議
1. 永遠更新到最新版本
無論是 WordPress 核心、主題，還是外掛，務必及時更新。這是最基本也是最有效的防禦方式。
2. 減少不必要的外掛
外掛越少就代表攻擊面越小。只安裝必要且有良好維護紀錄的插件。
3. 使用外掛安全監控工具
如 WPVulnerability 等能讓你在後台直接看到已知漏洞提醒的外掛，可幫助你主動管理風險。
4. 建立異常監控與後門檢查
定期檢查可疑管理員帳號、不明檔案、異常登錄 IP 等。使用防火牆/監控工具可減少暴力破解與未授權存取。
小辭典：Zero-day 與 WordPress 漏洞常用術語
Zero-day 漏洞（Zero-day Vulnerability）
指在公佈或修補之前就已被攻擊者利用的軟體漏洞。攻擊者可在未被修補期間大規模攻擊受影響系統。
Remote Code Execution（RCE）
遠端程式碼執行漏洞，允許攻擊者在目標主機執行任意命令或程式碼。
PoC（Proof-of-Concept）
示範漏洞利用的技術樣本程式碼。一旦 PoC 被公開，攻擊者可以快速自動化攻擊。
Privilege Escalation
權限提升漏洞，讓普通使用者能提升為管理員或擁有更高權限。
Exploit
指利用漏洞的程式或方法。公開 Exploit 會被攻擊者用來發動惡意行為。
