[CVE-2026-93485] Comment2XSS：WordPress 核心中的零点击预认证 XSS，可潜在升级为 RCE

该漏洞影响 4.7.0 至 7.1.0 之间的所有 WordPress 版本，无需身份凭证且仅需管理员浏览即可实现全自动 RCE。各组织应尽快升级到 7.1.1 或官方回迁修复补丁，并在网关和主机侧监控异常评论提交及非常规插件上传行为。

虽然升级为完整 RCE 依赖 PEAR 等环境条件，但未授权本地文件包含原语存在于 WordPress Core 核心代码中，波及 4.7.0 至 7.1.1 的所有历史版本，属于高风险核心级漏洞。

WordPress 覆盖大量互联网站点，登录页的预认证 XSS 让攻击者可在受害者交互后以站点来源执行 JavaScript，并在满足条件时继续影响管理员会话和服务器。应立即升级到 WordPress 7.0.3 或对应维护分支的补丁版本，并检查登录页、管理员会话和异常插件或文件变更。当前 CVE 记录的 CVSS 4.0 评分为 8.9（High），并标注需要主动用户交互；目前没有在野利用信号。

本文以 HacktronAI 对 OpenAI Discourse 社区站入侵事件的责任披露为背景，探讨如何通过沙箱隔离、运行时防护与 AI 辅助构建安全策略等纵深防御手段，在未知漏洞引发 RCE 时限制横向移动、缩小影响范围。

作者在 Cisco Smart Software Manager（CSSM）的 nginx 证书上传功能中发现一个认证后 RCE：openssl 证书校验经由 childProcess.execSync 执行，构造恶意 TLS 证书即可实现命令注入，且可通过自签 CSR 绕过多层校验逻辑。该漏洞在报告完成前已被 10-202608 升级静默修复，文章详细分析了利用路径与官方补丁方式。

WordPress 漏洞链深度分析：REST 批量路由混淆叠加标量 SQL 注入，经对象缓存、Customizer 与嵌套 REST 分发最终形成未认证 RCE；修复落地于 7.0.2、6.9.5、6.8.6，须尽快升级并按请求序列特征排查利用。