漏洞速览
- 漏洞编号：
CVE-2026-83627 - 风险评分：
9.8（严重） - 首次披露：2026-09-04
- 最近更新：2026-09-04
- 软件类型：插件
- 软件标识：
hummingbird-performance - 受影响版本：<= 3.21.0
- 修复版本：3.21.1
- 是否已修复：是
漏洞详情
Hummingbird（WordPress 速度优化、缓存、压缩与 CDN 插件）在最高至 3.21.0 的所有版本中存在远程代码执行漏洞，问题出在 core/modules/class-page-cache.php 中 log_msg() 函数。 该插件的页面缓存调试日志写入 wp-content/wphb-logs/page-caching-log.php，这是一个可以直接通过网络访问的 PHP 文件，本应受到文件开头 <? php die(); ?
> 的保护，但这层保护依赖于 class_exists('Filesystem') 的判断——而实际的类名是 Hummingbird\Core\Filesystem，class_exists() 在全局命名空间下解析字符串所以永远匹配不上，因此当日志在前端请求过程中被创建时，这层保护头部根本不会被写入。 随后 get_cookies() 将所有以 wphb_cache_ 为前缀的 Cookie 原始名称不加过滤地写入该日志文件，导致未经身份认证的攻击者只需发送一个匿名请求即可向日志文件注入任意 PHP 代码，再通过直接请求该文件即可执行，从而实现完全远程代码执行。
利用此漏洞需要网站管理员启用页面缓存并开启调试日志选项（非默认设置），且日志文件需在一次前端请求中被创建——这一状态可由插件自带的"清除日志"操作、任意缓存刷新操作触发，或通过插件每日日志轮换 cron 自动达成（该 cron 可能strip去已有日志文件的保护头部）。
影响与风险
- 漏洞类型：Unauthenticated Remote Code Execution via Cookie Name in Page Cache Debug Log
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Kuba
修复建议
- 按官方建议执行修复：更新至 3.21.1 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
