WordPress 7.0.4 版，这是一个安全维护版本，强烈建议所有用户立即更新您的站点以修复已知的安全漏洞。
核心目标只有一个：堵住一个潜伏在图像处理链中的高危漏洞。该漏洞编号为 CVE-2026-65640，由 pwn.ai 安全团队负责任披露，一旦被成功利用，攻击者可在目标服务器上执行任意代码，危害程度不容小觑。
WordPress 安全团队已发出明确呼吁：所有站点管理员应尽快完成升级。更新路径很常规——进入后台控制面板的"更新"界面一键操作，或者直接从 WordPress.org 下载完整安装包覆盖。对于开启了自动后台更新的站点，理论上补丁已经静默推送到位，但仍建议手动核查版本号，确保万无一失。
漏洞根因：当文件名欺骗了安全检查
这个 WordPress Imagick RCE 漏洞 的成因，说到底是一场"信任错位"。
WordPress 在处理媒体库图片时，底层依赖 ImageMagick 扩展来完成尺寸调整、格式转换等操作。ImageMagick 的能力远不止处理 JPEG 或 PNG 这类常见格式——它同样支持 PostScript、EPS 乃至 PDF 文件的解析。而解析这些格式时，ImageMagick 会把实际渲染工作丢给 Ghostscript。Ghostscript 这个组件在历史上曾多次被曝出可被诱导执行非预期命令，这次也不例外。
问题的关键出在文件类型识别机制上。ImageMagick 判断文件类型时，会读取文件的真实内容（即"魔数"检测）；但 WordPress 的 WP_Image_Editor_Imagick::load() 方法却主要依据文件扩展名来做决策。
这就给了攻击者可乘之机：一个扩展名是 .png 的文件，比如 holiday.png，其内部完全可能嵌套着 PostScript 代码。由于扩展名看起来人畜无害，它能顺利通过常规上传校验，随后被交给 Imagick 处理。Imagick 读取内容后识别出这是 PostScript，转而调用 Ghostscript 执行——恶意代码就这样在服务器上跑了起来。
熟悉安全圈的朋友应该能立刻联想到几年前的 ImageTragick 漏洞。没错，这次 WordPress 爆出的问题与 ImageTragick 属于同一类攻击面，本质上都是利用 ImageMagick 对多格式支持的"过度信任"来突破安全边界。
被绕过的上传路径：不只是常规入口
正常情况下，WordPress 的 wp_check_filetype_and_ext() 函数会在标准上传流程中拦截这种"名不副实"的文件。但遗憾的是，并非所有上传 通道 都会经过这道检查。
有两个路径成了漏网之鱼：
XML-RPC 接口的 wp.uploadFile 方法 —— 这个方法直接向 wp_upload_bits() 写入字节流，全程没有触发内容校验。攻击者如果拿到了 XML-RPC 的访问凭据，就能通过这个通道投递精心构造的恶意载荷。
MP3 文件封面提取流程 —— 在上传 音频 文件时，系统会尝试提取其内嵌的封面图片。这个提取过程同样走的是 wp_upload_bits() 直写逻辑，跳过了扩展名与内容的一致性核验。
换句话说，攻击者不需要走"前台上传图片"这条常规路，XML-RPC 和音频封面上传都是可行的替代渗透路径。
官方修复方案：从扩展名校验转向内容审查
WordPress 开发团队在提交 7daaa50 中发布了修复补丁，核心思路是对 load() 函数进行重写。
现在的逻辑是在构建 Imagick 对象之前，先对文件的实际内容进行扫描。具体而言，补丁会检查每个上传文件的前几个字节，拦截以下几类危险特征：
带有 PostScript 或 EPS 签名的文件
扩展名声称是 PDF 但文件头部缺少真正的 %PDF- 标识的伪造文档
被 gzip 或 bzip2 压缩包裹的文件（ImageMagick 会自动解压处理，这也是隐患）
此外，补丁还封堵了一个更隐蔽的攻击手法。攻击者可以在文件名前添加格式说明符前缀，例如写成 EPS:innocent.png，强制 ImageMagick 调用危险的 EPS 解码器。新代码会剥离并验证这类前缀，同时注意避免对 Windows 盘符（如 C:）产生误报。对于通过远程 URL 或流方式传入的文件名，也执行了同样的审查策略。
谁该担心？风险因站点类型而异
利用这个 WordPress 远程代码执行漏洞 的前提条件，是攻击者必须拥有作者（Author）级别或更高的账户权限。这意味着它并非一个"零门槛"的未认证攻击，实际风险与站点的用户管理策略紧密挂钩。
高风险场景包括：多作者协作的内容平台、开放注册或投稿权限的会员站点、对客户账户管理较为松懈的商业网站。这类环境下，任何一个获得作者身份的用户都可能尝试上传伪装成图片的恶意文件，进而控制整台服务器。
相对低风险的则是那些仅限小型、可信编辑团队内部使用的站点。如果后台账户都掌握在核心人员手中，且没有对外开放作者注册，那么被利用的概率会大幅降低。
但"低风险"不等于"无风险"。一旦某个作者账户因弱密码、钓鱼邮件或其他渠道被攻破，这个漏洞立刻就会成为横向渗透的跳板。
升级建议与版本支持说明
据 WordPress 官方公告，本次安全修复不仅包含在 7.0.4 中，还会向后移植到 4.7 分支，并整合进即将发布的 7.1 RC3 版本。但需要明确的是，只有最新版本的 WordPress 才能获得完整的持续支持，旧分支的向后移植属于应急措施，长期维护无法保证。
对于站点管理员来说，最务实的做法就是：
打开后台，确认当前版本是否为 7.0.4 或更高。如果不是，立即执行更新。更新前建议做好数据库和文件备份——这是任何升级操作的基本礼仪。
尤其需要警惕的是那些上传权限管控较松的站点。如果你的 WordPress 允许外部用户注册为作者、投稿人，或者通过插件开放了前端上传功能，那么这次更新的优先级应该提到最高。延迟升级一天，就多一天被定向攻击的风险。
安全从来不是一劳永逸的事。ImageMagick 和 Ghostscript 的组合在提供便利的同时，也持续暴露着攻击面。WordPress 7.0.4 的这次补丁，本质上是在"功能丰富"与"安全可控"之间重新校准了平衡点。对于依赖 WordPress 搭建业务的站长而言，及时跟进官方安全更新，始终是成本最低、效果最好的防御手段。
本站文章大部分为原创，用于个人学习记录，可能对您有所帮助，仅供参考！
