WP File Manager是讓Wordpress管理員管理站上檔案的外掛，目前有超過70萬個Wordpress網站安裝這個外掛。
芬蘭Wordpress網站代管公司Seravo日前發現駭客正在針對WP File Manager一項遠端程式碼執行（RCE）漏洞對多家網站發動攻擊。
Servavo偵測到，多家Wordpress網站客戶出現異常活動。經過分析，攻擊者是開採Wordpress外掛WP File Manager中的漏洞。同一時間，另一家安全公司Wordfence也偵測到攻擊活動。這項漏洞可使成功開採的攻擊者上傳任意檔案並遠端執行程式碼。
就是攻擊者可以執行任何檔案，視其目的而定，可以竊取網站資料、破壞網站或利用WordPress網站對其他網站，或是底層基礎架構執行另一波攻擊。
受影響的版本涵括WP File Manager 6.0-6.8版。經過通報後，WP File Manager開發團隊已經釋出修補漏洞的6.9版。
但Wordfence提醒，像File Manager這類工具外掛使用起來要特別留意，因為它能讓攻擊者修改或上傳任何檔案到WordPress管理員介面，可能引發嚴重事件，像是攻擊者可利用外洩的密碼存取管理帳號，修改外掛程式，上傳webshell程式，進而對伺服器執行列舉分析（enumeration），或是以其他攻擊程式來擴大損害。因此安全公司建議，沒在使用時最好移除這類工具外掛。
（相關資訊來自iThome）
