Elementor Pro漏洞CVE-2026-32475已遭利用

资讯专家

WordPress安全公司Defiant警告，Elementor Pro插件存在一个严重等级的任意文件上传漏洞（CVE-2026-32475，CVSS 9.8），并已监测到在野利用攻击。该漏洞影响Elementor Pro 4.2.1及更早版本，4.2.2版本已于8月19日修复，建议站点管理员尽快更新。

Elementor是一款流行的WordPress拖拽式建站插件，免费版安装量超过1000万。Elementor Pro为付费版本，提供表单控件，支持文件上传字段。

漏洞出在表单提交的处理函数中。当校验循环遇到一个标记为空的文件上传槽位时，会触发错误并提前返回，而不是跳过空条目继续校验同字段中的其他文件。攻击者可构造一个上传字段数组，第一部分放空槽触发校验中断，第二部分放PHP恶意文件，使其绕过验证被写入服务器磁盘。

Defiant指出，未认证攻击者可以请求该文件，在服务器上执行任意PHP代码，最终可能导致网站被完全接管。

补丁发布后，攻击者立即开始利用该漏洞。Defiant目前已经拦截超过19万次利用尝试。利用成功后，恶意PHP文件会写入以下目录：

/wp-content/uploads/elementor/forms/

该目录本用于存放表单上传内容。网站管理员应检查此目录下是否存在PHP文件，这是失陷的强指示器（IoC）。同时应检查日志中是否有针对 /wp-admin/admin-ajax.php 的请求；如果发现失陷迹象，还应排查站点是否被植入后门。

Elementor Pro拥有超过600万活跃安装，影响范围尚不清楚。据WordPress数据，截至9月4日，Elementor全部约1000万安装中约有三分之二仍在运行存在漏洞的版本。