10 月 29 日，Gunslinger、Mission、Legal Stone、Preservation 四款 WordPress 主题同日被披露未授权 PHP 对象注入，CVSS 全部 9.8。四款主题、同一个类型、同一个分数，这不是巧合，而是主题这门生意的结构问题。
10 月 29 日，Gunslinger、Mission、Legal Stone、Preservation 四款 WordPress 主题同日被披露未授权 PHP 对象注入，CVSS 全部 9.8。四款主题、同一个类型、同一个分数，这不是巧合，而是主题这门生意的结构问题。
这次爆的是什么
四个 CVE 分别是 CVE-2026-62018、62003、61997、54859，影响 Gunslinger 1.11、Mission 1.22、Legal Stone 1.2.11、Preservation 1.15 及更早版本。共同点是“未授权”：不需要登录，不需要订阅者权限，一个精心构造的请求就能把序列化数据塞进 unserialize。9.8 分意味着一旦站上存在可用的 gadget 链，就直接是接管。
为什么主题比插件更容易踩这个坑
主题看起来只是外观，实际每个前台请求都会执行它的 functions.php。为了做“一键导入演示数据”“主题设置面板”“ bundled 插件”，主题往往打包了旧版 TGMPA、老版选项框架、第三方 meta box 库。这些代码里 unserialize 的位置很多，而且多年没人审。
更要紧的是主题的更新链路：插件有自动更新，主题常常是买来一个版本用三年，作者换域名、停止维护，用户根本收不到补丁通知。漏洞披露了，站上还是那个版本。
怎么判断自己中没中
先在后台外观里看当前主题与版本，再去 wp-content/themes 下翻目录，重点找 inc/、framework/、plugins/ 这类打包目录，它们通常就是 gadget 的来源。如果站上还留着几个“备用主题”，风险更大——未启用的主题文件依然可以被直接访问，很多老洞就是从这个缝里进来的。
处置顺序
能升级就升级；作者已经停更的，换主题比打补丁现实。不用的主题直接删，不要只是“停用”。删之前导出一次主题设置，避免重装后栏目、配色全丢。如果站点已经出现陌生管理员账号、wp_options 里多出可疑的 cron 记录、或者前台莫名跳转，那就不只是升级的事了，要按被入侵处理：备份取证、清后门、重置全部凭据。
主题不是皮肤，是每次请求都在跑的代码
很多人对主题的心理预期还停留在“换个样子”，所以愿意从各种渠道下破解版、汉化版、二次打包版。这些版本最常见的改动就是往 functions.php 里塞一段混淆过的代码，或者把某个“激活验证”接口指向第三方服务器。前者本身可能就是后门，后者会在你不知情的时候把站点信息发出去。四款正版主题同日爆洞已经说明，即便是原作者维护的代码也有系统性问题；再叠上一层来源不明的改动，风险是叠加而不是抵消。
对站长的实际影响
挑主题时多看一项：最近一次更新时间、打包了哪些第三方库、有没有公开的漏洞记录。便宜甚至免费的主题不是不能用，但你得接受它可能永远不会修。把主题当成“会执行代码的软件”来管，比当成一张皮肤来管，安全得多。
本文根据公开报道整理，主要参考：Junglewise Threat Intelligence（NVD 数据整理）（2026-10-29）。
