Avada WordPress 主题严重漏洞可实现零点击 RCE

WordPress 热门主题 Avada 中的一个严重漏洞链可被未经身份验证的攻击者利用，在服务器上执行任意 PHP 代码。
该漏洞利用将六个安全问题串联成一次零点击攻击。这些漏洞统称为 CVE-2026-18431，严重性评分为 9.8（严重）。
该攻击包含针对授权、输入验证、信任边界和文件处理弱点的利用，必须按特定顺序执行，才能在目标服务器上实现任意 PHP 代码执行。
成功利用这些漏洞的黑客可以完全攻陷网站，进行恶意活动，从植入恶意软件和访问数据库，到将访问者重定向到恶意网站或添加恶意管理员账户。
Defiant 的 Wordfence 团队在周二的一份报告中表示，CVE-2026-18431 影响 Avada 7.16 及更早版本，以及 Fusion Builder 插件 3.16 及更早版本。
虽然 Avada 和 Fusion Builder 的开发商 ThemeFusion 已修复该漏洞，但 Wordfence 并未公布完整的技术细节，以便给管理员留出足够的时间安装最新更新，仅提供了以下攻击链概述：

• 通过公开请求暴露攻击者控制的输入
• 将该输入传递给对匿名用户受限的功能
• 在其预期上下文之外调用特权组件
• 使用请求数据影响可信状态
• 访问保护不足的管理操作
• 绕过关于可写入内容和位置的文件处理限制

尽管该漏洞严重性极高，但研究人员澄清说，利用该漏洞需要在目标网站上同时运行存在漏洞的 Avada 主题和 Fusion Builder 插件。
虽然 Avada 主题很受欢迎，销量超过 100 万，但利用 CVE-2026-18431 的先决条件显著缩小了潜在目标的范围。
Wordfence 使用一个名为 Argus 的内部代理框架发现了这个六步漏洞链，该框架还开发了概念验证（PoC）利用代码，整个过程仅用了大约两小时。
Argus 于 7 月 30 日发现并成功复现了该漏洞，研究人员于 8 月 5 日将完整细节分享给了供应商。ThemeFusion 于 8 月 10 日确认收到报告，并于昨天在 Avada 7.16.1 和 Fusion Builder 3.16.1 中发布了修复程序。