str_replace php WordPress头部插件曝9/10分高危漏洞，官方连发三补丁全失效

str_replace php WordPress头部插件曝9/10分高危漏洞，官方连发三补丁全失效

IT之家 12 月 25 日消息，科技媒体 昨日（12 月 24 日）发布博文，报道称 缓存插件 W3 Total Cache 陷入安全泥潭，该插件拥有超过 100 万的安装量，但其针对 CVE-2025-9501 漏洞连续发布的三个补丁均宣告失败。

IT之家注：W3 Total Cache 是个主流 缓存插件，全球站点装机量超过 100 万，近期爆发严重安全危机（CVE-2025-9501），根源在于插件处理动态内容的机制。

研究人员“”最初向 披露该漏洞时，它影响 2.8.13 之前的所有版本，CVSS 评分为 9.0str_replace php，被评为“严重”级别。

W3 Total Cache 的 函数使用 PHP 的 eval 函数来执行缓存页面评论中嵌入的代码。虽然该设计旨在提升动态页面的加载效率str_replace php WordPress头部插件曝9/10分高危漏洞，官方连发三补丁全失效，但也为黑客留下了后门，只要攻击者能在评论中注入特定代码，插件就会将其视为合法指令并直接执行。

厂商的修复过程被研究人员形容为“安全马戏团”：

尽管漏洞利用极其简单，但攻击者仍需满足三个特定条件：

虽然这些条件限制了攻击面，但在庞大的用户基数下，符合条件的受害者数量依然庞大。

鉴于补丁屡修屡破的现状，单纯依赖更新已不足以确保安全。安全专家建议，管理员在升级至最新版本的同时str_replace phpstr_replace php WordPress头部插件曝9/10分高危漏洞，官方连发三补丁全失效，必须立即审计 Y 常量的唯一性，确保其未被泄露。

此外，该安全公司建议暂时限制未验证用户的评论权限，并重点审查 2025 年 10 月以来的评论日志str_replace php，排查是否存在异常代码注入痕迹。