蓝易云CDN：黑客入侵144万网站，你的WordPress博客可能已被控制

你每天维护的 WordPress 网站，看起来可能一切正常：文章可以打开，后台能够登录，访问速度也没有明显下降。但你可能不知道，网站的管理凭据已经泄露，甚至正在被攻击者利用，向正常访客传播恶意程序。

2026年6月，网络安全机构 Shadowserver 基金会披露了一起涉及全球超过144万个 WordPress 网站实例的大规模安全事件。

这并不是普通的网站扫描，而是一场持续数年的恶意活动。攻击者利用被入侵的网站传播名为 SocGholish（FakeUpdates） 的恶意程序，让原本正常的网站成为传播恶意软件的渠道。

一、🚨 144万网站受到影响，究竟发生了什么？

根据 Shadowserver 于2026年6月18日发布的调查报告，2023年5月17日至2026年5月25日期间，相关行动涉及：

• 1,441,695个存在入侵证据的 WordPress 网站实例记录。
• 1,134,542个相关域名。
• 271,176个独立 IP 地址。
• 187个国家和地区。

调查发现，攻击者掌握了大量 WordPress 网站的登录凭据，部分网站还被植入恶意基础设施，用来诱导访问者下载危险程序。

需要说明的是，这些数字反映的是三年内累计发现的受影响记录，并不意味着144万个网站在2026年11月仍然受到控制。

在2026年6月的国际联合执法行动中，相关机构已对14,971个感染网站实施清理，并处置了106个恶意服务器及域名。

二、黑客为什么盯上 WordPress 网站？

WordPress 广泛应用于个人博客、企业官网和内容网站，插件与主题生态丰富，但也带来了额外的安全维护压力。

攻击者可能通过以下途径获得网站控制权：

弱密码与凭据泄露： 管理员使用简单密码，或者在不同平台重复使用相同密码。

插件及主题漏洞： 未及时修复的安全缺陷可能让攻击者执行恶意操作。

服务器配置问题： 不合理的文件权限、过期的软件组件和暴露的管理接口，都可能增加入侵风险。

第三方服务被攻陷： 网站使用的外部脚本、主机管理账户或域名管理系统出现安全问题，同样可能影响 WordPress 网站。

这意味着，即使 WordPress 核心程序已经更新，网站也不一定安全。

三、🔍 SocGholish 如何利用正常网站传播恶意程序？

SocGholish 的危险之处，在于它会利用正常网站原有的可信度。

用户访问被篡改的网站时，可能看到看似正常的浏览器更新提示，要求安装所谓的新版浏览器或系统组件。

一旦用户下载并运行这些文件，计算机就可能感染恶意软件，造成账号凭据泄露，甚至被进一步植入其他程序。

攻击者还可能利用流量分发机制，按照访问来源等条件选择目标，使恶意内容不容易在日常检查中被发现。

部分攻击还涉及域名影子技术：攻击者控制域名管理权限后，在合法域名下创建陌生子域名，用于承载恶意基础设施。

因此，网站首页能够正常打开，并不代表后台账户、网站文件和域名解析没有受到影响。

四、如何判断自己的 WordPress 网站是否被控制？

建议网站管理员重点检查以下内容：

• WordPress 后台是否出现陌生管理员账户。
• 插件、主题及上传目录是否存在异常 PHP 文件。
• 网站页面是否出现陌生 JavaScript 或外部资源引用。
• DNS 解析记录中是否存在未经授权的子域名。
• 服务器访问日志是否出现异常后台操作、文件上传或可疑请求。
• 用户是否反馈访问网站后出现虚假更新提示、异常下载或恶意跳转。

还可以使用 WP-CLI 执行 wp core verify-checksums，辅助检查 WordPress 核心文件是否遭到修改。

需要注意，完整性校验无法覆盖全部插件、数据库和外部服务，不能仅凭一次扫描就排除安全风险。