WordPress可以说是是网络上最受欢迎的内容管理系统（CMS）之一。根据网络技术调查网站W3Techs的资料显示，约有30％的网站在使用它。这种广泛采用也使得它成为一个足以引起网络犯罪分子兴趣的目标。

近日，两位安全研究员Slavco Mihajloski和 Karim El Ouerghemmi向我们介绍了一个被验证的WordPress内核漏洞，不仅允许任意文件删除，而且允许任意代码执行。更重要的是，尽管研究人员在七个月前就已经向WordPress安全团队报告了这个漏洞，但到目前为止它仍然没有被修复。

研究人员表示，任何WordPress版本，包括当前的4.9.6版本，都容易受到这个漏洞的影响。利用这个漏洞使攻击者能够删除WordPress安装的任何文件（以及PHP进程用户有适当权限删除的服务器上的任意其他文件）。

更准确地说，可以删除以下文件：

• .htaccess：通常，删除此类文件不会有任何安全后果。但是，在某些情况下，.htaccess文件包含与安全性相关的限制（例如，对某些文件夹的访问限制）。删除此类文件将会使这些安全限制失效。
  
• php文件：通常情况下，将空的index.php文件放置到目录中，以禁止在Web服务器无法执行的情况下查看文件目录列表。删除这些文件将为攻击者提供一份列表，列出受此措施保护的目录中的所有文件。
  
• wp-config.php：删除这个WordPress安装文件将会在下次访问该网站时触发WordPress安装过程。这是因为wp-config.php包含数据库凭证，如果没有它，WordPress就好像尚未安装。攻击者可以删除该文件，使用自己选择的管理员帐户凭证进行安装过程，最后在服务器上执行任意代码。
  除了删除整个WordPress安装的可能性（如果没有当前备份可用会导致灾难性后果）之外，攻击者还可以利用任意文件删除功能来绕过一些安全措施，并在Web服务器上执行任意代码。
  

为了提高对此漏洞的认识，研究人员发布了部分漏洞细节和临时修补程序。值得庆幸的是，由于漏洞利用的前提是需要事前获得用户账户权限，这就意味着漏洞被大规模利用的可能性很低。不过，对于共享多个用户帐户的网站来说，面临被攻击的风险相对较高。因此，无论如何，及时应用一个修复程序是必要的。