11 月 2 日到 3 日，NVD 一连公布四个 WordPress 插件高危漏洞，三个 9.8 分、一个 9.1 分，全部由 Wordfence 报送。真正要看的不是分数，而是每个洞成立前都要满足一个配置条件。
11 月 2 日到 3 日，NVD 一连公布四个 WordPress 插件高危漏洞，三个 9.8 分、一个 9.1 分，全部由 Wordfence 报送。真正要看的不是分数，而是每个洞成立前都要满足一个配置条件——同一款插件，有的站必死，有的站完全没事。
四个洞分别长什么样
ACF Extended PRO 的 CVE-2026-120534 是受限代码注入。插件在渲染字段时把表单配置参数合进字段设置，中间没有校验，随后交给 call_user_func_array，未登录访客就能用自己控制的参数调用任意 WordPress 函数。影响 0.9.2.6 及以前。
s2Member 的 CVE-2026-86596 是远程代码执行。它的清理函数只删字面的 <? 序列，攻击者把值塞进 item_name，跟着邮件模板走一圈，占位符清理那一步会把 <?php 重新拼出来，代码就在服务器上跑了。影响 260927 及以前。
另外两个的落点是删文件。Ultra Addons for Contact Form 7 的 CVE-2026-102435 借 WPCF7_Submission 的析构链做反序列化，匿名访客可删任意文件，影响 3.5.54 及以前；BuddyPress XProfile Image Field 的 CVE-2026-120518 在激活待审注册时，拿访客提交的路径直接 unlink()，既没有 realpath，也没有目录限制和扩展名白名单，影响 3.1.0 及以前。删掉 wp-config.php，站点会退回安装向导，离被接管只差一步。
先查配置，再决定多急
ACF Extended PRO 要成立，得满足其一：管理员在目标表单上开了非默认的 shortcode_preview，或者服务器缺 OpenSSL 函数，导致 acf_decrypt 退化成未校验的 base64 解码。前者是人为开关，后者用 php -m 看一眼就知道。
s2Member 需要一个 custom level 以上的账号，这条限制了匿名攻击，但拿过权限的账号不止一个。Ultra Addons 要 PDF Generator 这个附加组件是启用的，并且配了生成 PDF 的表单。BuddyPress 那个要开放注册，且注册表单上有图像类型字段。
把这四条对着自己的站过一遍，比看 CVSS 有用得多。Wordfence 给 9.8 是按最坏情况算的，你的站没开那个开关，实际风险就没那么高；反过来，开了开关又没升级，9.8 就是实打实的。
处置顺序
能升就升，四个插件都别等：ACF Extended 升过 0.9.2.6，s2Member 升过 260927，Ultra Addons 升过 3.5.54，BuddyPress 那个目前还没有修复版，只能先关公开注册或把图像字段从注册表单上摘掉。
升不了的，按附加组件下手：ACF Extended 关掉 shortcode_preview 并确认 OpenSSL 已加载，Ultra Addons 停用 PDF Generator，BuddyPress 关注册。这些是绕开，不是修好，只能买时间。
查一遍有没有被碰过
通报给的排查线索很具体：wp-config.php 必须存在且没被改过，站点出现安装界面本身就是事件；11 月 2 日以后 wp-content 下被改动的 PHP 文件要逐个看；BuddyPress 站点翻最近的注册记录，找图像字段为空或值里带 ../ 和绝对路径的；s2Member 站点查带 PHP 片段的邮件，以及 PayPal 通知脚本的异常来源 IP。
拿不准就按最坏处理：重置管理员密码，轮换 wp-config.php 里的密钥和盐，再把 wp-content 下的文件跟备份对一遍。这四个洞都跟“配置”绑在一起，也意味着攻击面会随插件更新悄悄变化，靠一次排查不能收尾，得知道每个站到底装了哪个版本。
本文根据公开报道整理，主要参考：cveo.tech《WordPress: 4 Critical Plugin Flaws, Early November 2026》（2026-11-03）。
