如果站上還在用 WP Libre Form 收聯絡或詢價資料，請先切換到安全的聯絡方式，停用並移除這個外掛。WordPress.org 早在 9 月 8 日因安全問題關閉下載，但網站上原先安裝的副本仍需由站長處理。
先核對外掛名稱和版本
| 外掛 | 受影響 | 官方修補 |
|---|---|---|
| WP Libre Form CVE-2026-118423 |
1.5.0.1 或以前 | 截至 11 月 10 日，未有 |
研究者經 WPScan 在 11 月 3 日公開問題。受影響的表單上傳沒有妥善驗證檔案類型，訪客無須登入便可能把 PHP 檔寫到可從網站存取的位置。伺服器若允許在該處執行 PHP，漏洞便可用來在伺服器上執行程式碼。
Patchstack 在 11 月 6 日發布公告並標為已知被利用。該公告未提供足以判斷個別站點是否遭入侵的資料。即使表單暫時沒收到異常提交，也應按外掛版本和站點設定處理。
替換表單後，留意舊上傳檔
先列出仍在用這個外掛的頁面，優先替換聯絡、詢價或申請表單。依業務需要備份原有表單資料和附件，然後停用並移除外掛。從未登入視窗試送一筆測試資料，確認新表單確實送到預定收件位置。也請確認測試站或舊副本沒有留著仍對外開放的相同表單。
若舊表單曾對外開放，請保留 Web 伺服器存取紀錄，檢查近期上傳目錄有沒有陌生 PHP 檔案，並查看是否出現陌生管理員或外掛。發現可疑檔案時先保存證據，再請維護者核對來源及影響範圍。
封面為 AI 生成的概念插圖。
