Wordfence 在 2026 年 9 月 11 日公開 The Events Calendar 的兩條無須登入即可觸發的遠端程式碼執行攻擊鏈。使用活動日曆，並且讓訪客在活動頁留言的 WordPress 網站，應優先確認外掛是否已修補。
兩個編號，修補版本不同
CVE-2026-78006 涉及 PHP 物件注入至程式碼執行，影響 6.17.4 及更早版本，修補版為 6.17.4.1。另一項 CVE-2026-78159 是程式碼注入攻擊鏈，影響 6.17.3 及更早版本，修補版為 6.17.3.1。若要同時處理兩項，應選用 6.17.4.1 或其後已修補的版本，而不是只跨過其中一個門檻。
留言待審，仍不代表這條路徑被擋住
利用條件包括活動頁留言功能啟用且可見。研究報告指出，攻擊者無須登入，也無須等管理員批准留言，便可能讓受影響模板處理其待審留言內容。因此，不能把「所有留言先審核」當作這次漏洞的完整防護。
活動網站更新時要驗什麼
先保存檔案與資料庫備份，再更新外掛；更新後檢查活動詳細頁、日期、報名入口及留言顯示。若暫時無法更新，可先評估停用活動留言以縮小這條入口，但仍須安排修補。不要拿正式活動頁執行網路上的攻擊範例，應由維護者依日誌及原始公告核對暴露範圍。
事件公告日期：2026-09-11。依公告翌日編入事件時間線，於 2026 年 11 月 1 日補錄；本文按歸檔日已公開資訊整理。封面為 AI 生成的概念插畫。
參考資料
原文鏈接：https://wntheme.com/events-calendar-comment-rce/，轉載請註明出處。
