2026年10月25日 · 独立站技术动态
装机量百万级的WordPress迁移备份插件Duplicator出事了。CVE-2026-82814，CVSS评分8.8：免费版1.5.17及以下、Pro版4.6.10及以下全部在射程内。攻击者无需登录，就能把序列化恶意对象埋进公开页面内容，等管理员打包迁移或导入的那一刻引爆——免费版可被直接执行操作系统命令，Pro版可被删除任意文件，删掉wp-config.php等于把站点拱手让人。
这个漏洞为什么阴
漏洞点在迁移流程的DUPX_UpdateEngine::unserializeTest()：管理员执行数据库查找替换时，插件会反序列化未经校验的内容。攻击者的操作分两步——先在评论、表单提交等公开内容里埋入序列化对象，然后等。等你哪天打包迁移、导入站点，雷就炸了。埋雷和引爆之间可能隔几周，常规安全扫描扫的是落地文件，根本看不到它还躺在数据库里。
两个版本的杀伤链不一样：免费版捆绑的Requests 1.7库存在POP链，攻击者可以指定回调直接执行系统命令；Pro版则通过IndexList析构gadget删除文件，一旦wp-config.php被删，安装向导重新暴露，站点接管就完成了。
用过Duplicator的独立站怎么处置
第一步升级：免费版到1.5.18、Pro到4.6.11。第二步回顾最近的迁移与导入操作，凡是在旧版本上执行过迁移的站点，按已被埋雷处理：校验wp-config.php完整性、排查新增管理员账号、比对核心文件哈希。第三步在WAF上加规则，拦截包含序列化特征的可疑payload。
Duplicator漏洞处置清单
- 免费版升级至1.5.18，Pro版升级至4.6.11；
- 排查旧版本上执行过的全部迁移与导入记录；
- 校验wp-config.php与核心文件完整性；
- 核对管理员列表，删除陌生账号；
- WAF增加反序列化payload拦截规则。
常见问题（FAQ）
只用Duplicator做备份、从不迁移，受影响吗？
引爆点在迁移和导入时的查找替换。纯备份不触发反序列化流程，但只要插件版本在受影响范围内，仍建议立即升级。
怎么知道自己有没有被埋雷？
检查数据库wp_options与评论表中是否存在异常序列化字符串，并对照文件完整性扫描结果；近期执行过迁移的站点建议做一次深度查杀。
暂无评论内容