过去几年，WordPress 的安全问题大多集中在插件生态上，比如某个下载量百万级的插件出了 SQL 注入或 XSS 漏洞，管理员卸载或更新插件就可以解决。但 wp2shell 的情况完全不同。

第一，漏洞位于 WordPress Core。 也就是说无论站点安装了什么插件、使用了什么主题，只要 WordPress 版本在受影响范围内，就可能被利用。

第二，这是一个预认证漏洞。 攻击者不需要拿到任何账号密码，也不需要通过社会工程学或钓鱼获取管理员凭证，直接对着目标站点发起攻击即可。这种零交互攻击面一旦被自动化武器利用，大规模扫描和批量入侵只是时间问题。

解决方案：