如果您收到我发来的邮件，指引您访问本页面，那是因为您的网站似乎正在运行存在漏洞版本的 Kirki – Freeform Page Builder, Website Builder & Customizer（WordPress 插件 kirki，由 Themeum 开发）。本页面将说明这为何重要以及如何修复。

本通知涉及 CVE-2026-8206，这是一个严重、正被积极利用的缺陷（CVSS 9.8）， 它允许攻击者 无需登录即可接管您站点上任意一个已注册的账户，包括管理员账户。 它影响 6.0.0 至 6.0.6 版本，并已在 6.0.7（2026 年 5 月 18 日发布）中修复。 如果您正在运行受影响的版本，请尽快 将 Kirki 更新到 6.0.7 或更高版本（推荐使用最新的 6.1.x 发行版）。由于这个缺陷会把账户的控制权交给攻击者，并且正在真实环境中被利用，您还应当 排查是否有未经授权访问的迹象（见下方如果您曾使用受影响的版本）。

这是一个 插件 缺陷，而不是 WordPress 核心的缺陷。如果 Kirki 插件本身处于 受影响的版本，那么即便是完全最新的 WordPress 也 无法 保护您。

这条消息是否可信？

是的。这是一份来自独立安全研究人员的善意、负责任披露通知。我 不会 向您索要金钱、 密码或对您站点的访问权限，也 没有 试图入侵它、上传任何东西或利用任何漏洞。

我所做的一切，只是查看您的网站向每一位访问者提供的公开可见文件（就像您的主页是公开的一样）， 并记录 Kirki 插件在其公开的 readme.txt 文件中公布的版本号。我特意 没有 触碰 那个存在漏洞的密码重置功能，而且这项检查完全不涉及您的数据、您的后台管理区域， 或您站点的任何私密部分。

如果您想核实我的身份，请查看本页底部的联系方式以及关于页面。

为什么这很重要

Kirki 是一款使用广泛的页面构建与定制器插件（约有 500,000 个活跃安装）。 它的密码重置处理程序（一个名为 handle_forgot_password 的函数）存在一处错误： 当重置请求提供 用户名 时，该处理程序还会在同一请求中接受一个 由攻击者提供的电子邮件地址。密码重置链接随后会被发送到那个地址， 而不是账户所有者的邮箱。

实际的后果是，只要远程攻击者 知道您站点上任意一个已注册用户的用户名（管理员也包括在内）， 就能让该用户的 密码重置链接送达攻击者自己的收件箱，既无需登录， 也不需要真正的账户所有者进行任何操作。点击该链接后，攻击者就可以设置新密码并完全控制该账户。 对于管理员账户来说，这意味着对站点的完全控制：创建新的管理员用户、安装插件或主题 （一种常见的植入后门的方式）、更改内容，或读取数据。

该缺陷被评为 满分 10 中的 9.8（严重级别）。通过这个缺陷劫持管理员账户的行为已经 在真实环境中被报告，并且已存在公开的大规模利用工具。如果我的邮件引用了这个问题， 那意味着您站点报告的版本落在受影响的范围之内。我并没有测试您的具体站点是否可被利用或是否已被入侵， 只是确认它报告了一个受影响的版本。

好消息：更新到已修复的版本可以堵上这个漏洞，而且更新过程很简单。

如何检查您的版本

您不必仅凭我的说法来判断自己运行的是哪个版本。

从公开清单查看（无需登录）： 在浏览器中打开 yourdomain.com/wp-content/plugins/kirki/readme.txt。顶部附近的 Stable tag: 这一行是您的 Kirki 安装所报告的版本，而这正是我读取的那个公开文件。

从 WordPress 后台管理区域查看（如果您有访问权限）：

  1. 登录您的 WordPress 仪表盘（通常位于 yourdomain.com/wp-admin）。
  2. 前往 Plugins 然后 Installed Plugins。
  3. 找到 Kirki 并记下其名称下方显示的版本。

然后按照以下规则判断，并注意版本号是 按数值比较，而不是按字母顺序比较：

  • 6.0.0 至 6.0.6： 受影响，请立即更新。
  • 6.0.7 或更高版本，包括 6.0.10、6.0.13、6.0.14 以及所有 6.1.x 发行版：已经修复。 不要被文本排序误导；6.0.10 是比 6.0.7 更晚（已修复）的发行版，因为 10 大于 7。
  • 3.0.x 或 3.1.x： 这是一个使用相同 kirki 标识（slug）的 不同产品 （Aristath 的 Kirki Customizer Framework，后来被 Themeum 的 6.x 页面构建器取代）。 旧的框架 不受 此问题影响，本通知也不适用于它。

如何升级

最安全的做法是通过 WordPress 自身进行更新，并事先做好备份：

  1. 在做出更改之前 备份您的站点（文件和数据库）。大多数主机服务商都提供一键备份， 或者使用 WordPress 备份插件。
  2. 在 WordPress 后台，前往 Dashboard 然后 Updates，或 Plugins 然后 Installed Plugins。如果列出了 Kirki 更新，就从这里安装它。
  3. 如果您更喜欢命令行，WP-CLI 可以完成同样的事情：wp plugin update kirki。
  4. 如果没有出现更新，您可以直接从该插件在 WordPress.org 目录上的页面获取最新版本， Kirki， 并通过 Plugins 然后 Add New Plugin 然后 Upload Plugin 进行更新。
  5. 更新后，按照上述步骤确认新的版本号（6.0.7 或更高；推荐使用最新的 6.1.x）， 并检查您的站点是否能正常加载。

既然您已经在处理这些，不妨顺便确认 WordPress 核心 以及您的其他插件是否都是最新的， 因为同样的原则适用于所有这些组件。

如果您曾使用受影响的版本

由于这个缺陷正被积极利用来接管账户，曾运行受影响版本的站点不应认为仅仅更新就足够了。 更新会移除该漏洞，但它 不会 撤销攻击者可能已经获得的任何访问权限。您（或您的网站管理员） 应当在 您自己的 站点上检查这一点：

  • 检查您的管理员账户。 在 Users 然后 All Users 中，按 Administrator 筛选， 并移除任何您不认识的账户。攻击者常常新增一个管理员用户以保持访问权限。
  • 检查最近的密码重置。 您或您的用户并未发起的重置请求，或者某个账户的密码突然失效， 都是这个缺陷特有的危险信号。如有疑虑，请亲自重置管理员账户的密码。
  • 检查最近安装或修改过的插件和主题。 留意任何并非您自己安装的内容，以及名称通用或陌生的插件， 流氓插件或主题是一种常见的植入后门的方式。
  • 检查应用程序密码。 对每一位用户（Users 然后该用户的 Profile），查看 Application Passwords 部分，并撤销任何并非您创建的条目。
  • 留意其他迹象。 意料之外的新内容或新页面、管理员邮箱或站点 URL 设置的改动， 或陌生的计划任务，都值得进一步调查。

如果您发现了未经授权访问的证据，请将站点视为已被入侵：移除任何流氓用户、插件或主题， 更换您的凭据（WordPress 后台、数据库和主机面板），并考虑从入侵之前所做的、已知良好的 备份中恢复。如果您的组织有 IT 安全团队，请让他们参与进来。

我想说明清楚：我 没有 就上述任何指标检查过您的站点，也不知道您的站点是否受到影响。 此列表列在此处，是为了让您可以自行检查。处于受影响版本范围内的站点也可能已经通过其他方式 受到保护（例如 Web 应用程序防火墙，或主机层面的补丁回移植）；本通知是一项基于版本号的观察， 并不是断言在我检查时您的站点确实可被利用。

我没有网站管理员 / 我遇到了困难

如果您不是维护站点的人，请将本页面转发给负责维护的人（您的网页开发者、代理机构或主机服务商）。 他们会很快认出上述步骤。

如果您自己维护站点却遇到了困难，我很乐意免费帮您指明正确的方向。请使用下方的联系方式与我联系。

联系方式

Evan Harris，安全研究员

我就此类问题主动联系，纯粹是为了帮助运营者保护他们的站点。如果您希望不再被联系， 只需告诉我，我会予以尊重。

参考资料

官方通告与追踪

厂商 / 插件