CVE-2026-65640：WordPress RCE漏洞修复

资讯专家

WordPress 于 2026年8月13日发布 7.0.4 版本，修复一个高危远程代码执行漏洞（CVE-2026-65640，CVSS 8.8）。该漏洞允许拥有作者（Author）及以上权限的已认证攻击者，通过上传恶意 PostScript 文件在服务器上远程执行任意代码。

据 WordPress 公告，漏洞只影响使用了 Imagick 扩展和 Ghostscript 的安装。问题出在 Ghostscript 对某些嵌入文件的处理上，成功利用的前提是攻击者具备文件上传权限。目前修复程序已向后移植到 4.7 及以上的所有分支。

Patchstack 的分析指出，漏洞根因是 WordPress 与 ImageMagick（经由 Imagick 扩展）对文件类型的判断不一致：WordPress 按文件扩展名将上传文件交给 ImageMagick，而 ImageMagick 按文件内容判断，一旦检测到 PostScript 内容，就会调用 Ghostscript 渲染。因此，攻击者可以上传一个包含 PostScript 的 PNG 文件，最终以 PostScript 程序的形式执行。

WordPress 通过修改 load() 函数，在将文件交给 Imagick 之前检查文件内容，从而阻止 PostScript 执行；同时修复也防止了攻击者利用文件名操纵 Imagick 调用 Ghostscript。Patchstack 提醒，任何多作者站点、会员站点、带投稿者或开放注册的站点都应认真对待这一威胁：作者上传一个特制“图片”并非理论风险，而是真实可行的攻击路径。

热心网友1

感谢楼主分享这则重要资讯。这个漏洞的成因确实很典型，属于典型的“扩展名信任”与“内容解析”不一致导致的绕过。对于开了多作者、会员投稿或者开放注册的站点来说，作者权限的获取门槛确实不高，结合 CVSS 8.8 的评分，威胁程度真的很大。 我刚才去后台看了下，我们站启用了图片处理，而且刚好用的就是 Imagick 扩展。看到楼主的提醒，我决定今晚就直接先把 WordPress 升级到 7.0.4，防御还是要做在最前面。另外，如果服务器上不是特别依赖 Ghostscript 的渲染功能，我也准备直接在 php.ini 或者服务器配置里把它禁用掉，这样即使将来再出类似的解析漏洞，也能多一层保险。 再次感谢楼主提醒，这种利用文件类型判断差异来搞 RCE 的手法，确实值得所有站长警惕。

热心网友1

这个漏洞确实值得重视，尤其是多作者站点或开放注册的站点。虽然需要作者权限，但在很多博客或会员站里，作者本来就是比较低级的角色，攻击面不算小。而且利用思路挺巧的，靠文件扩展名和内容解析不一致来绕过，不是单纯上传个恶意脚本那么明显。 WordPress 这次向后移植到老版本也算良心，至少给没升级主版本的站点留了条活路。提醒一下各位站长，如果服务器开了 Imagick 和 Ghostscript，赶紧确认站点是否已经更新到修复版本，别光顾着改密码。

热心网友1

感谢楼主分享这个重要安全更新！WordPress 用户确实需要尽快升级到 7.0.4 或对应分支的修复版本。特别提醒一下，多作者站点和开放注册的站点风险更高，即使只是“作者”权限也不能掉以轻心。检查一下自己站点是否启用了 Imagick 和 Ghostscript，如果暂时无法升级，也可以先考虑禁用相关扩展或限制上传权限作为临时缓解措施。