10 月 31 日公开的 CVE-2026-76010 把 NextGEN Gallery 推到了 8.8 分：一个照片画廊插件，因为“批量赋值”没设边界，被推到了远程代码执行。装了它的站，第一件事是看版本号，不是看流量。
10 月 31 日公开的 CVE-2026-76010 把 NextGEN Gallery 推到了 8.8 分：一个照片画廊插件，因为“批量赋值”没设边界，被推到了远程代码执行。装了它的站，第一件事是看版本号，不是看流量。
漏洞是什么
NextGEN Gallery 是 WordPress 里装机量很大的相册与滑块插件，站点用它做作品集、产品图册、摄影站。这次的成因是 unrestricted mass assignment，直译是“不受限制的批量赋值”：请求里的字段可以直接映射到对象的属性上，本该由代码决定的属性，变成了由访客决定。当某个属性控制的是回调函数或文件路径时，赋值就变成了执行。
CVSS 8.8 意味着不需要管理员账号，攻击门槛低、影响面大。画廊类插件天生在高危区，因为它必须在前台处理上传、缩略图生成、图片元数据，链条上任何一环把外部输入当可信数据，都会直接落到文件系统。
为什么这类插件特别容易出事
相册插件的功能边界天然模糊：要读图片、要写目录、要调图像库、要生成多种尺寸。功能越多，接受外部参数的入口就越多。加上这类插件往往同时兼容几套老版本 WordPress，历史代码里的 serialize、eval、动态 include 很难一次性清干净。攻击者不需要找零日，翻 changelog 的 diff 就够了。
十分钟自查
后台插件列表看 NextGEN Gallery 的版本；如果站点装了安全插件，翻最近一周的 wp-json 与 admin-ajax 访问日志，重点看带 upload、gallery、image 字样的请求来自哪些 IP。再用文件时间戳筛一遍 wp-content/uploads 下有没有 .php 文件——正常上传目录里不该出现可执行脚本，这一条几乎能筛出九成被挂马的情况。
处置顺序别搞反
先整站备份，再升级插件，然后清 webshell，最后换密钥。顺序反了会白干：先换密钥再清后门，等于把新密码交给还留在机器上的攻击者。清理时别只看 uploads，wp-content/plugins 与主题目录里的可疑文件、wp-config.php 末尾的追加内容、以及计划任务里的陌生条目都要过一遍。升级完再跑一次完整性校验，比“感觉没问题”可靠。
对站长的实际影响
如果你的站只是拿相册插件放几张产品图，完全可以换成更轻的方案，功能少一半，攻击面也少一半。真要留着，就把它纳入每周巡检名单：插件漏洞已经是 WordPress 站点沦陷的主要入口，核心程序本身反而没那么容易出事。还有一点常被忽略：升级插件前先确认它跟当前 WordPress 主版本兼容，硬升到不兼容的版本，前台白屏的损失有时候比漏洞本身更快落到你头上。
本文根据公开报道整理，主要参考：Junglewise Threat Intelligence（NVD 数据整理）（2026-10-31）。
