2026/10/28 WordPress 與網站重大資安快訊：6 款產品、7 項 CVE

更新日期：2026 年 10 月 28 日（台灣時間）。本篇是「每日整合資安快訊」，彙整近日已公開、且大郁尚未報導的 6 款 WordPress／Joomla 產品、7 項不同 CVE。各事件的公告日、受影響版本、風險與修補方式並不相同；不是說 WordPress 核心同時出現七個漏洞，也不代表所有網站都受影響。請先盤點是否使用相關產品，再決定更新優先順序。

今日應優先處理的包括：YOOtheme Pro 影像處理安全問題、Joomla Gridbox 兩項重大弱點，以及 Pie Register Premium、JupiterX Core、Qode Membership、Kirki 的高風險外掛漏洞。資料依 YOOtheme 官方更新紀錄、Balbooa 官方公告、Patchstack 與可信研究機構交叉核實；本文不提供攻擊利用細節。

2026/10/28 網站重大資安事件總覽

註：表內評分依來源標示；CVSS v3.x 與 v4.0 的數字不可直接當作同一套量尺比較。漏洞嚴重度不等於網站已遭入侵。公告日期以官方修補公告、CVE 公開或研究機構收錄日期分別說明。

YOOtheme Pro：CVE-2026-102785，WordPress 與 Joomla 都要注意

YOOtheme Pro 5.0.0 至 5.0.52 的影像處理功能存在未經身分驗證即可觸發的遠端程式碼執行風險。這項問題可能讓網站伺服器被控制，並進一步影響網站檔案與資料。官方於 2026/10/21 發布 5.0.53 修補，Joomla CVE 編號機構於 10/22 公開 CVE-2026-102785；Patchstack 於 10/27 收錄 WordPress 佈景主題版本。Joomla CNA 評為 CVSS v4.0 10.0，Patchstack 以另一評分版本列為 9.8。

研究機構 Atomicorp 記錄到自 10/21 起的實際攻擊通報，並驗證防護規則；這是值得優先處理的實際風險，但不應直接推論「目前所有網站正遭大規模入侵」。企業若使用 YOOtheme Pro 5，請立即備份並升級至 5.0.53 或更新版本；曾運行受影響版本者，還應檢查媒體、快取目錄中的異常檔案、陌生管理員與伺服器紀錄。只更新版本，無法自動移除先前可能留下的惡意檔案。

資料來源：YOOtheme 官方 Changelog、Atomicorp 研究通報、Patchstack 漏洞紀錄。

Balbooa Gridbox：CVE-2026-102788、CVE-2026-102789（Joomla）

Gridbox 是 Joomla 網站建置工具。CVE-2026-102788 涉及未經身分驗證的 SQL 注入；CVE-2026-102789 涉及編輯器控制器缺少必要權限檢查，可能讓不具授權的請求接觸敏感功能。Joomla CNA 對兩項皆評為 CVSS v4.0 9.3（Critical）。Balbooa 於 2026/10/27 發布 2.20.4.2，修正排序參數驗證與編輯器權限檢查，受影響範圍為 2.20.4.1 及更早版本。

使用 Gridbox 的企業應確認網站上的實際安裝版本，不要以「Joomla 核心已更新」取代擴充套件檢查。先備份資料庫及網站檔案，再更新 Gridbox 至 2.20.4.2 以上，檢查商店商品列表、文章分類、編輯器及會員功能，並留意異常帳號、資料庫存取與網站記錄。若因 Joomla 舊版本相容性而無法升級，應請維護人員評估暫時限制高風險功能與遷移方案，不能將 WAF 當作永久修補。

官方來源：Balbooa Gridbox 2.20.4.2 Security Hardening Update（10/27）。

Pie Register Premium：CVE-2026-84999，未授權檔案上傳

Pie Register Premium 3.8.4.0（含）以前存在未經身分驗證的任意檔案上傳風險，Patchstack 於 10/27 公告 CVE-2026-84999，CVSS 9.8。這類弱點可能導致伺服器上的惡意檔案被植入，對使用會員註冊、登入及個資收集功能的網站尤其需要重視。

官方修補版本為 3.8.4.1。請先確認使用的是付費版 Pie Register Premium，而不是名稱相近的免費版；備份後升級，檢查上傳目錄與異常使用者帳號。若無法立即更新，應優先採用可信的暫時緩解措施，並安排正式修補。

來源：Patchstack CVE-2026-84999（10/27）。

JupiterX Core：CVE-2026-106013，登入驗證繞過

JupiterX Core 4.61.0（含）以前存在未經身分驗證的身分驗證繞過風險，Patchstack 於 10/27 公告 CVE-2026-106013，CVSS 9.8。這類問題可能讓攻擊者繞過正常登入檢查，對具有網站管理與內容編輯權限的帳號形成風險。

建議升級至 4.62.0 以上，同時盤點管理員帳號、最近登入紀錄與非預期的權限變更。使用 JupiterX 相關佈景主題的企業，應檢查相依外掛是否確實同步更新，並測試前台頁面與後台編輯功能。

來源：Patchstack CVE-2026-106013（10/27）。

Qode Membership：CVE-2026-92885，會員身分驗證風險

Qode Membership 2.0.6.2（含）以前存在身分驗證繞過弱點，Patchstack 於 10/27 公告 CVE-2026-92885，CVSS 9.8。受影響網站可能出現未授權帳號存取的風險，特別是使用會員中心、個人資料或會員專屬內容的網站。

請更新至 2.0.6.3 以上，檢查會員及管理員名單、可疑登入與權限異動。研究機構指出其緩解規則可能阻擋正常與惡意請求，因此不應在未評估營運影響下單純依賴 WAF；完成正式更新後仍須測試登入與會員流程。

來源：Patchstack CVE-2026-92885（10/27）。

Kirki：CVE-2026-75891，已登入低權限帳號也可能帶來風險

Kirki 6.2.5（含）以前存在不安全反序列化弱點，Patchstack 於 10/27 公告 CVE-2026-75891，CVSS 8.8；研究紀錄指出攻擊條件涉及已登入的 Subscriber（訂閱者）權限。這不屬於完全不需帳號的攻擊，但若網站開放一般使用者註冊，仍應高度重視，可能影響更高權限帳號的安全。

建議升級至 6.3.0 以上，並盤點是否透過佈景主題或其他外掛間接使用 Kirki。對開放註冊的企業網站，請同步檢查不明帳號、管理員權限與最近的網站設定異動。

來源：Patchstack CVE-2026-75891（10/27）。

企業網站維護人員現在應該做什麼？

1. 先確認安裝清單：檢查 WordPress 外掛、佈景主題、Joomla 擴充套件與版本；未安裝的產品不需要因該 CVE 恐慌更新。
2. 備份並確保可還原：備份網站檔案、資料庫與必要設定，重要網站應確認異地備份與還原程序可用。
3. 優先修補可直接被外部觸及的高風險問題：依受影響版本與實際功能安排 YOOtheme、Gridbox、Pie Register Premium、JupiterX Core、Qode Membership、Kirki 的更新。
4. 更新後驗收：檢查登入、表單、購物車、金流、會員中心、圖片處理、網站速度及手機版，避免修補後影響營運。
5. 若曾使用受影響版本，檢查是否已被入侵：查看陌生管理員、可疑檔案、非預期排程與主機日誌；發現異常時保留證據並由專業人員處理。
6. 留下維護紀錄：記錄 CVE、原始版本、更新後版本、執行時間、驗收結果與負責人，讓日後稽核及交接有依據。

企業可參考大郁的WordPress 網站接手維護 12 項清單與網站維護費用及合約指南，建立可持續的資安維運流程。若現有廠商沒有提供更新紀錄、修補證據或事故處理窗口，也建議先釐清維護責任。

大郁提醒：這是不同產品的漏洞彙整，不是 WordPress 核心單一漏洞

本篇涵蓋 WordPress 外掛、WordPress／Joomla 共用建站工具，以及 Joomla 擴充套件。每個 CVE 都有獨立的受影響條件；不要將某一款產品的風險直接套用到其他網站。大郁持續追蹤官方與研究機構公告，優先提供能實際降低企業風險的版本資訊、修補步驟與維護建議。若需要協助盤點網站環境、確認外掛版本、安排安全更新或處理網站接手，歡迎聯絡大郁網頁設計工作室，討論網站維護與資安檢查。

資料查核日期：2026/10/28。文章內容為一般網站維運資訊，不代表已對讀者網站進行弱點掃描或入侵鑑識；實際修補方式應以產品供應商最新公告與網站相容性測試為準。