WordPress 安全公司 Wordfence 披露，热门在线课程插件 Tutor LMS 中发现一个 PHP 对象注入（PHP Object Injection）漏洞，影响超过 10 万个 WordPress 站点。该漏洞由 Wordfence 的 AI 驱动漏洞研究系统 Argus 发现。

WordPress PHP 对象注入漏洞

PHP 对象注入是 WordPress 生态中近年增长最快的漏洞类型之一：攻击者通过注入精心构造的序列化对象，利用应用代码中的"魔法方法"链（POP 链）实现任意代码执行、数据库操作甚至站点接管。此类漏洞之所以难以检测，是因为它与运行时的应用行为深度耦合——静态扫描往往无法发现对象注入点与可用 gadget 之间的组合。

据 Wordfence 介绍，该漏洞存在于 Tutor LMS 对未信任输入的反序列化处理中，未经认证的攻击者可以构造恶意 payload 触发对象注入。在存在可利用 gadget 链的环境下，漏洞可升级为远程代码执行（RCE），这正是"10 万站点暴露于 RCE 风险"的原因。

Wordfence 强调，站点管理员应立即更新 Tutor LMS 至修复版本。作为通用防御建议：

  • 及时更新所有插件——PHP 对象注入漏洞多数由插件引入
  • 启用 Web 应用防火墙规则拦截已知的反序列化利用 payload
  • 审计站点是否存在已被弃用但仍启用的插件

Patchstack 2026 年报告指出，WordPress 生态 91% 的新增漏洞来自插件而非核心，其中反序列化类漏洞的增长最为显著。对于运行 LMS、表单、电商等复杂插件（这些插件处理大量用户输入）的站点，保持更新是最有效的防御。

本文编译自 Wordfence，原文地址：https://www.wordfence.com/blog/2026/09/100000-wordpress-sites-exposed-to-remote-code-execution-via-php-object-injection-vulnerability-found-by-wordfence-argus-in-tutor-lms/