刚看到资安公司Patchstack的警报，他们从10月7日晚上开始，监测到针对WordPress插件Bricksforge的攻击流量。这个插件存在一个CVSS评分10分（满分）的漏洞，编号CVE-2026-85097，能让攻击者在不需要登录的情况下，直接往你的服务器上上传任意PHP文件并执行。说白了，就是黑客能通过这个漏洞，几乎等于拿到了你网站的后台钥匙。
这漏洞到底影响谁？
如果你的WordPress网站安装了Bricksforge这个页面构建器插件，并且没有更新到修复了此漏洞的版本，那么你的网站就直接暴露在风险中。攻击者可以利用它上传Webshell，进而控制整个网站，植入恶意代码或者盗取数据。据公开报道，这个漏洞已经处于被积极利用的状态。
我的网站中招了没？怎么快速检查？
检查Bricksforge插件是否安装，最直接的方法是登录WordPress后台，进入“插件”->“已安装的插件”列表，滚动查看。如果没找到，基本可以放心。
如果找到了，请立即确认插件版本。进入插件详情页，查看当前版本号。如果版本低于官方已发布修复的版本（请务必查看Bricksforge官网或WordPress插件库公告获取确切的已修复版本号），那么你的网站就处于高危状态。
一个更隐蔽的自查方法是检查服务器上的文件。通过FTP或宝塔面板的文件管理，进入 /wp-content/plugins/bricksforge/ 目录，如果该目录存在，也说明插件被安装过。即使你认为自己没装，某些主题或一键建站包也可能自动集成，查一下更保险。
发现受影响了，现在该怎么办？
第一步：立即升级。 这是首选方案。在WordPress后台的插件页面，如果有更新提示，直接点击“立即更新”。如果没有更新提示，你需要去Bricksforge的官方网站或你购买插件的平台，手动下载最新版，然后通过后台“上传插件”功能覆盖安装，或者通过FTP替换服务器上的旧文件。
第二步：如果不能马上升级，先停用并删除。 在后台直接“停用”并“删除”Bricksforge插件。这会清除插件文件，暂时堵上漏洞入口。删除前备份一下网站是好习惯，但眼下安全优先。
第三步：检查是否已被入侵。 升级或删除后，不能就此了事。重点检查网站根目录、/wp-content/uploads/、/wp-content/themes/ 等可写目录下，是否有多出来的可疑PHP文件（尤其是名字为随机字符串或看起来像图片的.php文件）。检查最近修改的文件，时间点在10月7日之后的都值得关注。清理浏览器缓存后访问网站前台，看看页面源码有没有被注入奇怪的JavaScript代码。
后续怎么防？总不能天天盯着漏洞新闻吧
这次是Bricksforge，下次可能是别的插件。对于用WordPress建站的站长，尤其是服务器上跑了好几个客户站点的小团队，依赖人工盯漏洞消息不现实。这里有几个实际的建议：
- 减少不必要的插件。 每个插件都是一个潜在的攻击面。问问自己：这个功能是不是非用插件不可？能否用主题自带功能或几行代码实现？用不到的插件果断删除，而不是停用。
- 建立更新习惯。 但更新不能盲目。对于生产环境，在更新核心、主题或重要插件前，最好在测试环境验证一下兼容性。设定一个固定的时间，比如每周一下午，检查并执行必要的更新。
- 利用工具进行自动化监控。 像宝塔面板就提供了一些安全扫描功能。另外，一些专业的安全监控服务可以自动提醒你网站存在已知漏洞的插件。对于管理多个站点的团队，这能省很多心。
如果你正在用我们的WordPress主题或dedecms模板建站，我们提供的源码本身会注重安全性，但装上第三方插件后的责任就落在站长自己身上了。我们站内也整理了《WordPress主题插件漏洞自查指南》，具体检查步骤和常用安全加固命令都写在里面了，遇到情况可以对照着一步步操作。
网站安全没有一劳永逸，尤其是用开源CMS的站长。这次满分漏洞算是一个强烈的提醒：你装上去的每一个插件，都需要你为之负责。
