Elementor Pro漏洞已遭利用：升级后还要排查PHP文件

Wordfence于2026年9月2日披露，攻击者正在利用Elementor Pro文件上传漏洞CVE-2026-32475，在无需登录的情况下向服务器写入可执行PHP文件。其 9月2日主动利用通告 显示，攻击活动始于8月19日，Wordfence防火墙随后拦截了超过19万次利用尝试。

这份通告涉及Elementor Pro 4.2.1及更早版本；已知利用还要求网站发布了包含非必填File Upload字段的Elementor Pro Form组件。管理员应先核对版本和表单配置，再升级至4.2.2或更高版本，并检查上传目录与请求日志，因为安装补丁只能阻止同一路径上的后续攻击，不能证明网站此前没有失陷。

先确认版本与表单是否同时满足利用条件

检查时要确认的是Elementor Pro，而不是免费版Elementor。可在WordPress后台插件列表或服务器上的插件文件中记录实际版本；如果同时维护生产站、测试站和旧子站，应逐个实例核对，不能用主站的更新状态代替其他站点。

版本不高于4.2.1只是第一个条件。已公开的利用路径还需要一个已经发布的Elementor Pro表单，其中至少存在一个未设为必填的File Upload字段；仅安装旧版本但没有这种公开表单，并不等于该路径可以直接触发。

盘点范围应包括当前页面、弹窗、落地页以及仍可通过直接URL访问的旧页面。临时撤下相关表单可以缩短继续暴露的时间，但不能替代插件升级，也无法判断攻击者是否已经在此前的窗口期写入文件。

校验提前结束，使后续PHP载荷被保存

漏洞出现在Form组件处理文件上传数组的逻辑中。攻击者可让数组的第一个元素呈现为空文件状态，使易受影响版本提前结束扩展名和文件类型校验；后续处理流程却会跳过空元素，继续保存数组中的下一个文件。

后续文件因此可能保留攻击者提供的.php扩展名，并被写入/wp-content/uploads/elementor/forms/。攻击者随后可直接请求该文件，在服务器上执行PHP代码；CERT-In漏洞说明 将该问题列为严重风险，确认受影响范围为4.2.2之前的版本，并指出成功利用可能造成可执行文件上传、远程代码执行和系统失陷。

Elementor Pro 4.2.2修正了Form组件的相关安全处理，但更新不会自动清除升级前已经落盘的PHP文件。由此需要把“插件已修补”和“网站是否曾被入侵”作为两个独立结论记录。

按四步完成升级与初步失陷排查

无需复现攻击即可完成第一轮处置。BleepingComputer的独立报道 同样确认了受影响版本、表单利用条件、PHP文件写入位置以及升级后检查该目录的必要性。

1. 确认版本和配置。记录Elementor Pro的实际版本，检查已发布的Form组件是否含有非必填File Upload字段。版本不高于4.2.1且配置条件成立的网站，应按存在暴露窗口处理。
2. 升级至4.2.2或更高版本。通过Elementor提供的更新渠道安装当前可用的稳定版本，并在更新完成后再次核对版本号。临时隐藏表单或依赖入口不易发现，都不能代替修补。
3. 检查上传目录。递归检查/wp-content/uploads/elementor/forms/，查找.php文件及服务器可能按PHP执行的其他异常扩展名。该目录用于保存表单上传内容，其中出现PHP文件是强失陷指标。
4. 核对请求日志。在Web服务器以及仍保留记录的CDN、WAF或托管平台日志中，检索针对/wp-admin/admin-ajax.php的POST请求，并检查其动作参数是否为elementor_pro_forms_send_form。将请求时间、来源地址和响应状态与可疑文件的创建或修改时间对应起来；没有匹配记录只能表示现存日志中未发现线索。

发现PHP文件后，问题已不再只是插件更新

如果上传目录出现PHP文件，或者可疑表单请求之后紧接着发生了对新文件的访问，应将站点视为可能已经失陷。先限制受影响环境继续对外提供服务，保留可疑文件、相关日志和时间信息，再检查站点中是否存在其他后门或未经授权的改动。

排查不能只停留在elementor/forms目录。攻击者一旦取得代码执行能力，可能在其他可写目录、插件或主题文件中留下第二个入口；还应核对WordPress管理员账号、近期文件变更、wp-config.php和计划任务等持久化位置。仅删除最显眼的PHP文件，无法证明访问权限已经被清除。

目前公开的“超过19万次”是Wordfence拦截到的利用尝试数量，不等于19万个网站已经失陷，也不能代表互联网上的全部攻击规模。尚无可靠的受害站点总数，因此每个网站都需要分别确认插件是否已更新，以及补丁前的暴露窗口是否完成调查；前者只能证明当前版本已修补，不能单独证明站点从未遭到入侵。