WooCommerce Wholesale Lead Capture 漏洞 (CVE‑2026‑27540) 被積極利用，建議立即升級

WooCommerce Wholesale Lead Capture 漏洞 (CVE‑2026‑27540) 被積極利用，建議立即升級

核心訊息：去年 2 月已公布並修補的 WooCommerce 付費外掛 Wholesale Lead Capture，其 CVE‑2026‑27540 任意檔案上傳漏洞，近期被攻擊者大量利用。Wordfence 監測顯示自 6 月起攻擊頻率激增，8 月底單日嘗試次數突破 4 萬，累計阻擋超過 10 萬次。網站管理者務必升級至 2.0.3.2 以上（目前最新 2.0.6）以防止遠端程式碼執行。

背景與技術細節

• 漏洞類型：任意檔案上傳（Unauthenticated Arbitrary File Upload），允許未驗證的使用者上傳任意 PHP 檔案。
• 危害等級：CVSS 9.8（滿分 10 分），屬於「嚴重」等級。
• 攻擊手法：攻擊者透過 AJAX 請求，偽造參數並夾帶惡意 PHP 檔案（Webshell）。上傳成功後，Webshell 會回報主機資訊，並提供瀏覽器表單介面，讓攻擊者持續寫入更多惡意檔案，最終取得完整系統控制權。

Wordfence 的資料顯示，從漏洞公開以來已攔截超過 10 萬 次利用嘗試；自 6 月起出現多波大規模攻擊，8 月底達到 4 萬次/日 的高峰。這表明惡意攻擊者已將此漏洞納入自動化工具，對使用該外掛的電商網站構成即時威脅。

影響範圍

• 電商平台：使用 WooCommerce 並安裝 Wholesale Lead Capture 的網站皆可能受到影響。
• 資料外洩風險：成功上傳 Webshell 後，攻擊者可竊取客戶資料、交易紀錄，甚至植入勒索軟體。
• 營運中斷：遠端程式碼執行可能導致網站被改寫、服務暫停，直接衝擊營收與品牌形象。

建議與未來展望

1. 立即升級：將外掛升級至 2.0.3.2 以上版本；目前官方已釋出 2.0.6，建議一次性更新至最新。

2. 加強防護：啟用網站防火牆（WAF），如 Wordfence、Sucuri 等，並設定嚴格的檔案上傳白名單。

3. 例行檢測：定期執行漏洞掃描與完整性檢查，確保未遺留舊版檔案。

4. 資安資訊訂閱：資安日報與資安週報提供免費電子報，讓您即時掌握全球與臺灣的資安動態。

結語：CVE‑2026‑27540 已從「已修補」變為「被主動濫用」的實際威脅，任何仍在使用舊版 Wholesale Lead Capture 的電商站點，都面臨被遠端程式碼執行的高風險。請務必在最短時間內完成升級與防禦配置，將資安風險降至最低。