網路犯罪分子使用了近2,000個被入侵的帳戶。 WordPress 這些網站被用於傳播惡意軟體、控制受感染的電腦以及儲存被盜資訊。這項發現表明，一個過時的網站如何在所有者不知情的情況下，成為更大規模犯罪活動的一部分。
Check Point Research 於 2026 年 8 月 18 日揭露了這項名為 StopAndProtect 的行動。該活動結合了勒索軟體、憑證竊取、文件洩露、螢幕鎖定以及多種在電腦之間傳播的方法。
这 WordPress 這些網站未必是這次攻擊的最終目標。攻擊者將它們改造為基礎設施，用於接觸和控制其他受害者。
檢查點發現了什麼？
Check Point 於 2026 年 5 月首次發現 StopAndProtect 勒索軟體家族。進一步調查顯示，該勒索軟體只是更廣泛的惡意軟體工具包的一部分。
這次攻擊行動始於一個偽造的驗證碼，該驗證碼利用了一種名為ClickFix的社會工程學方法進行欺騙。攻擊者指示訪客複製或執行一條PowerShell指令，讓他們誤以為自己正在完成驗證步驟。
執行指令會下載多個惡意軟體階段。這些元件可以加密檔案、竊取憑證和文件、透過 USB 裝置或 Windows 檔案共用傳播、鎖定受害者的螢幕，並在攻擊者和受害者之間建立聊天通道。 Check Point 從 5 月中旬到 7 月底收集了約 31,000 張來自暴露目錄的螢幕截圖。研究人員還發現了 700 多個包含從受感染電腦中提取的資料的壓縮檔案。
此次行動自身的操作失誤暴露了其規模。從基礎設施中恢復的文件包含近2,000個被入侵的名單。 WordPress 用於大量管理這些網站的工具的網域名稱和原始程式碼。 Check Point 表示，這些清單僅顯示了行動的規模，而非所有活躍受感染網站的完整數量。
情況如何？ WordPress 使用的網站？
妥協 WordPress 這些網站分發惡意軟體階段，向受感染的電腦傳遞指令，並儲存活動日誌和竊取的檔案。這種分散式結構使攻擊者能夠利用許多獨立的域進行攻擊。
Check Point 也還原了惡意必備程式的安裝程式。 WordPress 插件。必備插件會自動加載，但不會像標準插件那樣出現在常規插件清單中。
惡意插件創建了一個隱藏的 REST API 端點，其憑證被硬編碼。知道這些憑證的攻擊者可以上傳文件，包括可執行檔。 PHP 文件，放入 WordPress 安裝完成後，安裝程式會自動停用並刪除自身，以使變更更難被察覺。
Check Point 檢查的一個被入侵的網站運行著 WordPress 此版本最早可追溯至 2021 年。研究人員發現了近 40 個潛在漏洞，涉及過時的軟體、過期的憑證、SQL 注入、身份驗證繞過、檔案上傳和其他弱點。
這個例子並不能證明營運中的每個站點都因相同漏洞而遭到入侵。但它確實表明，多年疏於維護會導致多個潛在入口點敞開。
可以做得更好 WordPress 主機託管是否阻止了這種情況的發生？
A 管理 WordPress 主持人 可以降低風險，但沒有任何主機方案可以完全消除風險。 WordPress 安全性取決於主機、應用程式、已安裝的外掛程式、帳戶憑證以及網站所有者的維護措施。
Automatic 自動錶 WordPress 更新可以修復已知的核心漏洞。插件漏洞監控可以識別過時或已棄用的擴充功能。 Web應用程式防火牆會在可疑請求到達伺服器之前將其過濾掉。 WordPress惡意軟體掃描會檢查檔案中是否有已知或異常代碼。
運行時保護透過監控以下內容來增加另一層保護： PHP 程式碼在執行期間嘗試執行的操作。帳戶隔離還可以限制當共享伺服器上的一個網站被攻破時，攻擊者能夠採取的行動範圍。
這些控制措施僅在其定義的範圍內有效。防火牆可能會漏掉看似合法但利用新漏洞的請求。惡意軟體掃描器也可能無法識別新的或經過大幅修改的有效載荷。備份有助於還原網站，但攻擊發生後建立的備份可能已經包含惡意檔案。
什麼應該 WordPress 網站所有者檢查？
WordPress 網站所有者應更新 WordPress 首先卸載核心程式、外掛程式和主題，然後移除不再使用的擴充功能。即使插件處於非活動狀態，但如果其檔案仍然保留在伺服器上，則仍可能構成安全風險。
網站管理員還應檢查使用者帳戶、輪換密碼、啟用雙重認證，並檢查 wp-content/mu-plugins 目錄中是否有陌生檔案。安全性日誌可能會顯示意外的管理員建立、檔案上傳、REST API 活動或快取外掛程式變更。
異地備份應將乾淨的副本儲存在主機帳戶之外。網站所有者還需要測試復原過程，而不是想當然地認為可用的備份就一定可用。
「停止並保護」運動並不意味著 WordPress 本身就存在固有的不安全因素。這表明，一個缺乏維護的… WordPress 安裝過程可能成為攻擊目標的基礎設施，攻擊範圍遠遠超出原始網站的範圍。
