上周，WordPress 官方紧急发布了两个关键安全漏洞的修补程序，并强烈敦促所有网站管理员“立即”进行软件更新。由于漏洞危害性极大，官方甚至在条件允许的情况下启用了强制更新机制。然而，Patchstack、Hexastrike 以及 WatchTowr 等多家网络安全公司随后纷纷发出警告，指出黑客正在“野外”积极利用这些漏洞，接管那些尚未完成更新的脆弱网站。
目前，受影响的具体网站数量尚难精确统计，但外界已能做出初步推测。据悉，存在漏洞的WordPress版本主要涵盖 6.9.0 至 6.9.4 版本，以及 7.0.0 到 7.0.1 版本。根据官方公开数据，此前共有超过 4.0 亿个网站运行这些受影响的版本，尽管这一数字并未完全剔除近期已完成修补的站点。
网络安全顾问 Daniel Card 在抽样调查了约 3，500 个WordPress网站后估算，当前仍有不到 15% 的网站处于脆弱状态。若将这一比例推算至整个互联网的WordPress网站基数，受威胁的总数依然高达约 9，000 万个。
业内专家同时对多方的积极防御表示了认可。其中，安全研究员称赞了WordPress推进自动更新的举措，并指出Cloudflare 拦截了针对脆弱网站的恶意攻击，同时许多网站借助 Web 防火墙等安全防护措施，才将实际遭黑客攻破的站点数量控制在一定范围内。
WordPress.org的开发项目方对此并未立即予以置评。不过，负责运营WordPress.com并参与开源项目贡献的母公司 Automattic 发言人梅根·福克斯表示，所有由 Automattic 托管的站点在漏洞修复发布前就已经得到了保护，并且在代码更新公布后，他们已立即在数百万个网站上完成了部署。
其中一个关键的WordPress 漏洞是由网络安全公司 Searchlight Cyber 的研究员亚当·库斯（Adam Kues）发现并报告的，该漏洞被命名为 WP2Shell。在与另一个漏洞结合后，黑客能够对脆弱网站实现完整的远程控制。
