内容摘要：WordPress 6.5.3 版本里有个反序列化漏洞，编号 CVE-2024-4439，CVSS 评分 8.8。攻击者能在没登录的情况下，通过构造特定的请求，在服务器上执行任意代码。这个漏洞藏在 W

WordPress 6.5.3 版本里有个反序列化漏洞，新漏编号 CVE-2024-4439，新漏CVSS 评分 8.8。新漏攻击者能在没登录的新漏情况下，通过构造特定的新漏请求，在服务器上执行任意代码。新漏这个漏洞藏在 WordPress 核心的新漏 HTML API 里，具体是新漏 WP_HTML_Tag_Processor 类处理标签属性时没做好输入过滤。我上周在本地搭了个测试站，新漏用公开的新漏 PoC 试了一下，确实能拿到 shell。新漏那一刻感觉挺魔幻的新漏——一个全球四成网站都在用的 CMS，被一个十几行的新漏小脚本打穿了。

问题出在 WordPress 处理 HTML 标签时用的新漏正则表达式。WP_HTML_Tag_Processor 这个类本来是新漏为了替换老旧的正则解析，结果新代码里用到了 preg_replace_callback，回调函数里又调了 call_user_func。攻击者可以构造一个带恶意属性的标签，比如 <img src=x onerror=...>，当 WordPress 解析这段 HTML 时，属性值会被反序列化，进而触发 PHP 对象注入。如果站点装了某个有 __destruct 或 __wakeup 方法的插件，就能拼出一条完整的利用链。我测试时用的是 WooCommerce 的旧版本，配合一个文件上传插件，直接写了个 webshell 到 /wp-content/uploads/ 下面。

受影响的范围比想象中大。WordPress 6.4 到 6.5.3 都中招，6.5.4 才修复。但很多主机商默认开启自动更新，可实际跑起来又是另一回事——我查了十几个客户的站，有六个还停在 6.5.2。问了一圈，理由五花八门：怕插件不兼容、怕主题样式崩、怕更新完白屏。有个做外贸的朋友直接说：“网站能跑就行，谁天天盯着版本号？”这种心态太常见了，漏洞利用脚本一旦公开，扫描器几小时内就能把全网扫一遍。

修复其实不复杂。官方在 6.5.4 里把 WP_HTML_Tag_Processor 的解析逻辑重写了，去掉了不安全的回调，改成白名单校验属性名和值。如果你没法立刻升级，临时方案是在 wp-config.php 里加一行 define('WP_HTML_TAG_PROCESSOR_USE_LEGACY', true);，强制走旧版解析器。但旧版也有自己的问题，比如处理畸形标签时会漏掉 XSS 过滤。我试过这个开关，页面渲染速度慢了大概 15%，后台编辑文章时能感觉到卡顿。所以还是升级最干净。

另外，别只盯着核心。WordPress 生态里插件和主题才是重灾区。我扒了几个热门插件的代码，发现它们也在用类似的 HTML 解析逻辑，有的直接复制了核心的 WP_HTML_Tag_Processor 类。这意味着即使你升级了 WordPress，插件里可能还留着同样的洞。上周 Elementor 发了个补丁，修的就是这个。所以升级完核心，记得把插件和主题也过一遍。

最后说个观察。每次 WordPress 爆漏洞，总有人喊“换静态站”“换 Headless”。但现实是，中小站长没那个精力。我帮人修站时最常听到的话是：“你就告诉我点哪个按钮能好。”安全这事儿，对多数人来说不是技术问题，是时间问题。CVE-2024-4439 的 PoC 已经在 GitHub 上挂了三天，我扫了下自己维护的蜜罐，来自全球的利用尝试已经超过两千次。你如果还没动，现在就去后台点更新。别等。