更新時間：2026 年 10 月 26 日（台灣時間）。本篇為近期已公開的重要 WordPress 資安事件整合，不是指五項漏洞都在 10 月 26 日才公布。大郁依官方公告、漏洞研究機構與外掛更新紀錄交叉核對，整理網站管理者應先檢查的版本、實際風險及安全處理順序。本文不提供攻擊操作細節。
本次聚焦七項與企業網站營運相關的事件：Prime Mover、LiteSpeed Cache、Duplicator、WP Stripe Checkout、UpdraftCentral、Rank Math PRO，以及 JetEngine。它們是不同產品、不同根因的資安事件；網站未安裝相關外掛或未使用對應服務，通常不會直接受到該項事件影響。
近期重大 WordPress 資安事件速覽
| 產品／事件 | CVE 與公告 | 受影響範圍 | 建議處理 |
|---|---|---|---|
| Prime Mover | CVE-2026-115806 10/22 公告，CVSS 9.8 |
2.2.1（含）以前 | 至少更新 2.2.2；暫緩非必要搬遷，追蹤修補狀態 |
| LiteSpeed Cache | CVE-2026-113499、113500、113501 10/23 官方公告 |
7.9.2 以前；須符合特定設定／使用條件 | 更新至 7.9.2 以上 |
| Duplicator／Pro | CVE-2026-82814 10/21 CVE 公開，CVSS 8.8 |
免費版 ≤ 1.5.17；Pro ≤ 4.6.10 | 升級至新版 5.x，更新後再執行搬遷 |
| WP Stripe Checkout | CVE-2026-110285 10/23 WPScan 公告，CVSS 5.3 |
1.2.2.62 以前 | 更新至 1.2.2.62 以上；核對實際收款 |
| UpdraftCentral 雲端連線金鑰事件 | 無獨立 CVE 10/19 廠商公告，10/23 更新 |
曾透過雲端 UpdraftCentral 連線的網站 | 更新 UpdraftPlus、刪除舊金鑰並檢查異常帳號 |
| Rank Math PRO（付費版） | CVE-2026-111862 10/16 公告，CVSS 9.8 |
僅限 10/15 20:02 至 10/16 07:12（UTC）取得且啟用的部分 3.0.123 套件 | 使用乾淨的 3.0.124 以上版本；曾啟用受污染套件者須依官方程序完整清查與復原 |
| JetEngine | CVE-2026-115608 10/26 公告，CVSS 8.5 |
3.9.0（含）以前；須有 Contributor 權限 | 更新至 3.9.0.1 以上；依實際帳號權限評估風險 |
註：CVSS 是漏洞技術嚴重程度，不等於網站已遭入侵的證據；實際風險仍須依外掛版本、功能設定、網站權限與是否曾遭利用判斷。
一、Prime Mover：備份搬遷流程的高風險物件注入
CVE-2026-115806 由 Wordfence 於 2026/10/22 公開，10/24 更新紀錄，CVSS 3.1 評分為 9.8（重大）。受影響的是 Prime Mover – Backup and Migration 2.2.1（含）以前。風險與網站資料匯出、還原時的資料處理流程有關；並非所有瀏覽網站的動作都會立即觸發相同後果。
需要特別注意修補狀態的資訊差異：WordPress.org 的 2.2.2 更新紀錄已明確寫入「強化反序列化處理，防止物件注入」，但查證時 Wordfence 漏洞頁面仍標示 Unpatched。因此我們建議至少更新至 2.2.2、暫停非必要的匯出／還原操作，並持續留意研究機構與開發者後續確認；不應宣稱雙方已一致認定修補完成。
企業建議：盤點是否安裝 Prime Mover，確認版本與網站留言設定；保留可還原備份、更新外掛，檢查近期管理員帳號與異常變更。若已不使用此搬遷工具，完成必要備份後可評估移除。
查證來源：Wordfence CVE-2026-115806 公告、WordPress.org Prime Mover 版本紀錄。
二、LiteSpeed Cache：同次安全更新涉及三項 CVE
LiteSpeed 官方於 2026/10/23 發布安全說明，確認 7.9.2 已修正三項問題：CVE-2026-113499、CVE-2026-113500 為跨網站指令碼（XSS）風險；CVE-2026-113501 則是管理通知相關的權限檢查不足。
兩項 XSS 並非所有舊版網站都會受到同樣影響。官方指出，必須同時符合公開留言被發布、主題或其他程式未正確跳脫留言者名稱，以及特定 CDN 圖片映射或字型顯示最佳化設定等條件。第三項權限問題主要涉及已登入低權限使用者可關閉外掛管理通知，不應誤稱為可直接取得管理員權限。
企業建議：更新 LiteSpeed Cache 至 7.9.2 或更新版本；更新前備份並記錄快取設定，更新後確認頁面樣式、CDN 圖片、登入及電商購物流程正常。若無法立即更新，先加強留言審核並檢查官方列出的相關最佳化選項。
查證來源：LiteSpeed 官方安全公告（2026/10/23）、WordPress.org LiteSpeed Cache 更新紀錄。
三、Duplicator：搬家外掛在特定遷移流程可能發生物件注入
CVE-2026-82814 於 2026/10/21 公開，CVSS 3.1 為 8.8（高風險），涉及 Duplicator 免費版 1.5.17（含）以前及 Duplicator Pro 4.6.10（含）以前。問題與舊版搬遷工具處理資料庫內容的方式有關；攻擊風險須搭配後續建立備份套件及遷移操作等條件判斷，不能簡化成「只要安裝就會被直接接管」。
Duplicator 官方已將免費版與 Pro 版整合為 5.x 共同版本線。建議使用者先確認授權、主機 PHP 相容性與完整備份，再升級至 5.0.0 或更新的安全穩定版本，並在更新完成後重新製作需要使用的搬遷套件。若網站近期曾執行遷移，應一併檢查帳號、檔案及異常紀錄。
查證來源：CVE-2026-82814 紀錄、Duplicator 官方更新紀錄、WordPress.org Duplicator。
四、WP Stripe Checkout：付款通知驗證不足可能影響訂單真實性
CVE-2026-110285 由 WPScan 於 2026/10/23 公開，CVSS 為 5.3（中度）；CVE 資料於 10/25 發布。影響 WP Stripe Checkout 1.2.2.62 以前的版本：當 Webhook 簽章密鑰未設定時，舊版可能未正確驗證付款完成通知，造成網站訂單顯示已完成，卻沒有相應的真實交易。
這個外掛是獨立的 Stripe 收款方案，不是 WooCommerce 官方 Stripe 金流外掛，請勿混為一談。雖然技術評分並非最高，但對會自動交付商品、服務或數位內容的企業而言，可能直接產生營運損失。
企業建議：升級至 1.2.2.62 或更新版本，確認 Stripe Webhook 簽章驗證已啟用，並比對近期「已付款」訂單與 Stripe 後台實際交易；無法核對的訂單先暫緩出貨或交付。
查證來源：WPScan CVE-2026-110285 公告、WP Stripe Checkout 官方外掛更新紀錄。
五、UpdraftCentral：供應商遭未授權存取，雲端管理金鑰需檢查
TeamUpdraft 於 2026/10/19 公告，10/23 更新說明：其官方網站曾於 10/17–10/18 發生未授權存取，可能涉及 UpdraftCentral 雲端服務的連線金鑰。廠商確認，攻擊者曾利用受影響連線在部分客戶網站新增異常帳號或外掛。這是雲端管理金鑰外洩事件，並非 UpdraftPlus 外掛安裝檔被植入惡意程式，也沒有本次事件專屬 CVE。
廠商已發布 UpdraftPlus 免費版 1.26.13／Premium 2.26.13，以撤銷特定舊連線金鑰；但更新不會自動清除入侵前已建立的異常帳號或外掛。使用雲端 UpdraftCentral 的網站應直接登入各自 WordPress 後台，確認版本、刪除舊連線金鑰、檢查使用者（特別是異常 Editor／Administrator）、外掛及安全紀錄，再安全地重新建立連線。
官方表示，自行架設的 UpdraftCentral 不受這次雲端金鑰事件影響；沒有 TeamUpdraft 帳號的免費 UpdraftPlus 使用者，也不需要因這次事件執行上述雲端金鑰處理。已連線 UpdraftVault 的網站則應確認備份是否在重新連線後恢復正常。
查證來源：TeamUpdraft 官方事件公告與處置步驟。
六、Rank Math PRO：付費外掛更新通路遭污染，須確認取得時間
CVE-2026-111862，CVSS 3.1 為 9.8（重大）。Rank Math 於 2026/10/16 公開安全事件：部分 Rank Math PRO 3.0.123 套件，在 2026/10/15 20:02 至 10/16 07:12（UTC） 透過官方下載或更新通路提供期間遭植入惡意程式。不是所有 3.0.123 都遭污染；必須比對實際下載／更新時間與是否啟用。WordPress.org 的免費版 Rank Math SEO 不受此次事件影響。
若在受影響時段安裝並啟用污染套件，官方要求將網站視為可能已遭入侵。潛在企業影響包含未授權的持續存取、異常管理員帳號及網站憑證或 API 金鑰外洩。開發商已於 2026/10/16 發布乾淨的 PRO 3.0.124，但只更新外掛不能保證清除先前留下的惡意變更。
企業建議：確認所有網站的 Rank Math PRO 版本及 10/15–10/16 更新紀錄；若曾啟用受影響套件，依官方指引優先從事件前乾淨備份復原、進行完整惡意程式與異常帳號檢查、輪替網站及主機可存取的密碼與金鑰，最後再安裝官方乾淨版本。若只下載但未安裝啟用，不應直接宣稱網站已遭入侵。請勿從不明郵件連結下載更新檔。
官方來源：Rank Math 官方事件公告與復原指南、Rank Math PRO 更新紀錄、Wordfence CVE-2026-111862。
七、JetEngine：客製內容外掛 SQL Injection，評估權限後更新
CVE-2026-115608 由 Patchstack 於 2026/10/26 公開，CVSS 3.1 為 8.5（高）。受影響的是 Crocoblock JetEngine 3.9.0（含）以前，3.9.0.1 已列為修補版本。漏洞涉及 SQL 查詢處理；依 Patchstack 紀錄，需具備 Contributor（投稿者） 權限，因此不是無須登入即可直接利用的情況。
Patchstack 雖給出較高的技術分數，但將此事件列為低優先處理等級（Low priority），目前不能據此宣稱已遭大規模利用。企業若有開放投稿、會員帳號或自訂權限，應盤點是否安裝受影響版本，先備份並更新至 3.9.0.1 或更新版本，再測試客製文章類型、查詢列表與 Elementor 頁面是否正常；並限制不必要的投稿者權限。
官方來源：Patchstack CVE-2026-115608 漏洞公告。
企業網站管理者，現在應先做哪幾件事？
- 先確認是否使用受影響產品：登入 WordPress 後台，列出外掛名稱、版本、是否啟用及實際使用功能；未安裝不等於需要額外安裝。
- 確認可還原的備份：包含網站檔案、資料庫與必要的設定，避免更新或遷移失敗時無法復原。
- 依風險優先更新：先處理正在使用且有已確認高風險的外掛；涉及搬家工具時，更新前不要貿然啟動舊版匯入或還原。
- 檢查帳號與交易：特別留意不明管理員／編輯者帳號、陌生外掛，以及金流後台沒有對應付款的訂單。
- 驗證前台與核心流程：更新後檢查首頁、表單、快取、購物車、付款、排程及備份，避免只看見「更新成功」就視為完成。
- 留下維護紀錄：記錄版本、更新日期、檢查結果與待追蹤事項，便於未來稽核及跨廠商交接。
如果網站由不同團隊接手管理，建議搭配閱讀大郁的WordPress 網站接手維護 12 項檢查清單及網站搬家與 SEO 檢查指南。PHP 層級的漏洞另可參考PHP2Shell 安全更新說明，不要將不同漏洞混為同一事件。
大郁提醒：修補版本與「已入侵」是兩件事
外掛有 CVE 不代表每個網站都受相同條件影響；升級至修補版本也不代表可以省略已入侵網站的清查。企業若有多個網站，建議建立外掛資產清冊、更新優先順序、備份驗證與異常帳號檢查流程，讓維護有可追溯的紀錄。
大郁提供 WordPress 網站維護、資安檢查、主機與搬遷評估及客製功能維護。若不確定網站是否使用上述外掛、版本是否安全，或需要協助規劃交接與更新測試，歡迎聯繫大郁討論網站維護需求。
本文查證基準：2026/10/26。漏洞資訊及修補狀態可能隨官方後續調查更新；實際作業應以產品官方最新公告與網站環境測試結果為準。
