8 月 npm 生態系爆發 Shai-Hulud 家族的「ChainDrop」蠕蟲，波及每週下載量上億的套件；WordPress 連發兩個安全版，Elementor Pro 檔案上傳漏洞開始被大量利用。
本月重點一覽
| 項目 | 類別 | 嚴重度 |
|---|---|---|
| npm「ChainDrop」蠕蟲（keyv、cacheable 系列遭感染） | npm 供應鏈 | 嚴重｜進行中攻擊 |
| WordPress 7.0.3／7.0.4 安全版 | CMS | 高 |
| Elementor Pro 表單檔案上傳漏洞遭利用（CVE-2026-32475） | WordPress 外掛 | 嚴重｜已遭利用 |
| Redis TLS use-after-free（CVE-2026-81934） | 資料庫／快取 | 高｜CVSS 4.0 7.5 |
| Joomla 5.4.8／6.1.3：10 項修補 | CMS | 高（Joomla 自評） |
npm「ChainDrop」蠕蟲（keyv、cacheable 系列遭感染）
類別：npm 供應鏈 嚴重度：嚴重｜進行中攻擊
8 月 4 日攻擊者入侵數百個 npm 套件，部分每週下載量超過 1.5 億。惡意版本以 preinstall 執行 node setup.mjs，第二階段以 Bun 竊取憑證，再用偷來的 npm／GitHub token 自我散播。已知受害版本如 [email protected]、[email protected]、[email protected]、[email protected]、[email protected]、[email protected] 等。
處置建議：比對 lockfile 是否含受害版本；CI 與開發機一律停用安裝腳本（npm –ignore-scripts 或 pnpm 10 預設）；受影響環境輪替 npm、GitHub、雲端憑證。
來源：Datadog Security Labs、新加坡 CSA AD-2026-009
WordPress 7.0.3／7.0.4 安全版
類別：CMS 嚴重度：高
8 月 6 日 7.0.3 修補多項問題，其中 CVE-2026-64638 為登入頁未登入反射型 XSS，可進一步導致 PHP 程式碼執行（CentralCSP 列 8.9）。8 月 12 日 7.0.4 修補 CVE-2026-65640：使用 Imagick＋Ghostscript 的網站，作者以上角色可透過惡意上傳執行程式碼。
處置建議：升級到最新版；多人投稿網站要特別注意作者帳號權限。
來源：WordPress.org 安全公告分類、CentralCSP 整理
Elementor Pro 表單檔案上傳漏洞遭利用（CVE-2026-32475）
類別：WordPress 外掛 嚴重度：嚴重｜已遭利用
含「檔案上傳」欄位的 Elementor Pro 表單驗證不足，可被上傳 webshell。修補版 4.2.2 釋出後，8 月 19 日起出現大規模攻擊。
處置建議：升級 Elementor Pro 到 4.2.2 以上，檢查 wp-content/uploads 是否出現 .php 檔，並在 uploads 目錄禁止執行 PHP。
Redis TLS use-after-free（CVE-2026-81934）
類別：資料庫／快取 嚴重度：高｜CVSS 4.0 7.5
8 月 28 日公告：TLS pending-data 處理的 use-after-free，特定條件下已驗證的攻擊者可能執行程式碼。CVE 紀錄原標 9.8，後經 Redis 申請改為 7.5。官方表示未見利用。
處置建議：升級到 8.10.1／8.8.2／8.6.6／8.4.6／8.2.9／7.4.11／7.2.16／6.2.24。
來源：Redis 官方公告
Joomla 5.4.8／6.1.3：10 項修補
類別：CMS 嚴重度：高（Joomla 自評）
8 月 18 日修補，包括 MFA 繞過（CVE-2026-73337）、可上傳 SHTML 檔（CVE-2026-73373，影響 1.0.0 起所有版本）、webservice 存取控制不一致等。
處置建議：升級到 5.4.8／6.1.3 以上。
站長檢查清單
- PHP、Node.js、網頁伺服器（Apache／NGINX／LiteSpeed）與 cPanel 都要跟上各分支最新修補版，停止支援的版本（PHP 8.1 以下、Drupal 10.6／11.3 以前）要規劃遷移。
- WordPress、Drupal、Joomla 核心與外掛開啟自動安全更新；停用、刪除用不到的外掛。
- 定期檢查是否出現陌生的管理員帳號，uploads 目錄禁止執行 PHP。
- npm 專案鎖定版本、CI 停用安裝腳本；發生供應鏈事件時輪替所有憑證。
本文依各官方公告與資安廠商公開資料整理，版本與評分以原始公告為準；整理日期 2026-10-29。