漏洞出在哪里

Click2Shell 与 WordPress 的“主题预览”功能处理 URL 参数的方式有关。同一个主题预览链接中的参数，会先后被 WordPress.org 主题 API 和管理员浏览器中的 JavaScript 代码分别解析：主题 API 将其视作普通的主题名称（Slug），而浏览器端则保留了原始字符，并将其进一步插入 jQuery 选择器。在特定条件下，这种解析差异可以形成一条可被利用的攻击链。

攻击者只需构造一条特殊的主题预览链接，诱导已登录的管理员打开，即可在目标站点上安装攻击者指定的主题，进而加载恶意 PHP 代码。

实际危害有多大

根据 pwn.ai 的分析，单独的“强制安装主题”漏洞被评为 CVSS 7.1（高危）。但研究人员演示了更危险的一环：若将该漏洞与所安装主题中的二次缺陷（例如官方目录中的 Mobile Repair Zone 主题存在一个无需权限校验的后台处理程序）相结合，攻击者就能在服务器上执行自己的代码，整条攻击链的评级高达 CVSS 9.6（严重）。

不过，这一攻击链存在前置条件：潜在受害者需要登录 WordPress 后台，并且在此前的同一浏览器会话中访问过攻击者准备的恶意网站。因此，并非任意未登录用户都能直接利用该漏洞。目前尚无证据表明 Click2Shell 已在真实环境中被利用。

哪些版本受影响，如何修复

该漏洞影响 WordPress 6.0 至 7.1.1 发布前的所有版本，修复已回溯到 4.7 在内的所有受支持分支。WordPress 官方没有给出变通方案，升级核心程序是唯一有效的缓解手段。运行 7.1 系列的管理员应尽快升级至 7.1.1；开启了自动更新的站点会自动接收补丁。

pwn.ai 近期已两度披露 WordPress 核心的同类缺陷：8 月的一起位于登录界面，同样可链式触发代码执行；而 7 月披露的“wp2shell”漏洞则无需登录与交互，已被美国网络安全和基础设施安全局（CISA）列入已知被利用漏洞目录，与本次 Click2Shell 无关。

数字有多夸张

从月度对比看，2026 年微软修复的漏洞数量几乎逐月走高：一月 112 个，三月 83 个，四月 165 个，五月 137 个，六月 206 个，七月 622 个，八月 421 个，九月一举冲到 974 个。一至九月累计 2,779 个，而 2025 年同期为 876 个，同比增幅 217.2%。

在这 974 个漏洞中，针对 Windows 系统的修复数量为 723 个，其中面向 Windows 11 24H2 与 25H2 版本的修复为 611 个。修复范围主要涉及 Windows Update、Windows Hello、生物识别服务以及 Windows 图形内核等基础组件。

按类型划分，权限提升类漏洞数量最多，达到 438 个；信息泄露类为 173 个；其余分布在远程代码执行、拒绝服务、安全功能绕过与欺骗等类别。

两个已被实际利用的漏洞

本月最需要优先处理的是 CVE-2026-81963。该漏洞存在于 Windows Update Stack 中，源于文件访问前对链接解析不当，本地已获授权的攻击者可能借此提升到系统级权限。微软已确认该漏洞存在被实际利用的证据，建议 Windows 11 用户尽快升级。

另一个同样被确认在野利用的是 CVE-2026-85880，位于 Windows 高级本地过程调用（ALPC）组件中，属于堆缓冲区溢出类提权漏洞，成功利用后攻击者同样可获得系统级权限。

美国网络安全和基础设施安全局已将这两个漏洞列入已知被利用漏洞目录，并要求联邦机构在 9 月 22 日前完成修补。安全研究人员提醒，这类本地提权漏洞往往是勒索攻击链条中的第二环：先通过钓鱼拿到一个普通用户权限，再利用提权漏洞拿下系统控制权。

补丁节奏为什么被压缩

微软 365 总监 Jeremy Chapman 给出了一个值得注意的判断：如果关键质量更新在发布后被拖延数周，攻击者可能有足够时间利用人工智能去发现并攻击这些已知缺口。为缩短风险暴露窗口，微软已把质量更新的建议延期周期收紧到少于 3 天。

对企业 IT 团队而言，近千个漏洞意味着无法再沿用”全部立即部署”的粗放方式。较为现实的做法是按风险排序：先处理两个已被实际利用的提权漏洞，再评估面向外网、承担身份认证或域名解析等关键角色的服务器，最后是一般终端。

对个人用户来说，结论反而简单：打开 Windows 更新，让系统把这次的补丁装完。

该漏洞编号为 CVE-2026-65400，严重程度评为 7.1 分（满分 10 分）。苹果已在 8 月 6 日发布修复，覆盖 macOS Tahoe 26.6.1、macOS Sequoia 15.7.9 和 macOS Sonoma 14.8.9 三个版本线。漏洞根源在于屏幕共享组件的「状态管理」缺陷——这部分逻辑负责跟踪此前发生的事件、用户交互和各类系统状态，而它没有正确校验登录者的身份，导致网络上的攻击者可以在没有有效凭据的情况下通过认证环节。

前提条件：5900 端口暴露在公网

NCSC 在本周早些时候的公告中描述了观察到的攻击情况：

NCSC 收到通报，已在多个 5900 端口可从互联网访问的系统上观察到该漏洞被实际滥用。在所有这些案例中，受影响系统的 root 权限都已被获取，并被植入了门罗币挖矿程序。

这个前提很关键。macOS 的屏幕共享功能基于 VNC 协议，通过 TCP 5900 端口工作，允许远端在机器开机状态下查看屏幕并控制键鼠。当屏幕共享被打开时，macOS 防火墙会随之放开该端口；但路由器和独立防火墙通常默认拦截外部对 5900 端口的访问，除非管理员手动配置了端口转发或改写了默认规则。换句话说，受影响的是那些既开启了屏幕共享、又把 5900 端口直接暴露在公网上的机器，而不是所有 Mac。

时间线上，NCSC 于 8 月 7 日首次就该漏洞发布公告，提醒使用上述 macOS 版本的组织尽快安装更新；8 月 13 日的更新中，该机构确认已观察到在野利用。漏洞的技术细节则在此前一周的 Black Hat 安全会议上被公开。苹果在公告中的措辞相对保守，称 CVE-2026-65400「可能」允许没有凭据的攻击者取得对 Mac 的访问权限——在披露漏洞时软化表述，是多数技术厂商的常见做法。

目前只见挖矿，但风险不止于挖矿

从已知情报看，攻击者拿到权限后所做的事情比较单一：植入门罗币挖矿程序，暗中占用 Mac 的算力去执行运算，为攻击者生成加密货币。目前没有迹象显示这些攻击被用于安装其他类型的载荷。

不过挖矿只是攻击者取得 root 权限之后选择的动作之一，而不是这条攻击路径的上限。真正更值得担心的是，同样的漏洞完全可以被用来投放窃取凭据的恶意软件，或执行其他危害更大的操作。root 权限意味着攻击者可以读取文件、修改安全设置、建立持久化驻留——对于开发者、管理人员使用的机器来说，上面可能存放着代码仓库权限、云服务令牌或敏感文件。

NCSC 目前尚未披露受影响组织的数量和身份、攻击起始时间，以及相关活动是否已超出挖矿范围。

普通用户该怎么处置

安全从业者的通行建议是：即便需要使用屏幕共享，也不要把 5900 端口开放到互联网上，而应通过 VPN 或 SSH 隧道连接。问题在于，这两种替代方案所需的操作，对多数普通用户而言门槛偏高。

更现实的做法是控制这项功能的开启时间：平时保持屏幕共享关闭，只在确实需要远程连接时打开，用完立刻关掉。开关位置在「系统设置 – 通用 – 共享」，找到 Screen Sharing（屏幕共享）对应的开关即可切换。想确认自己是否处于风险中，也可以从这里查起。

当然，安装 8 月 6 日发布的那批安全更新同样是必须动作。需要提醒的是，打上补丁只能封住入口，如果机器此前已经处于「开启屏幕共享且端口暴露」的状态并被入侵，更新本身并不会清除攻击者留下的驻留手段或已被窃取的信息，这类机器应当按可能已被入侵来处理。

来源：Ars Technica / Dan Goodin、荷兰国家网络安全中心公告