Brotli漏洞CVE-2026-111497：默认WordPress被pingback攻陷

Brotli漏洞CVE-2026-111497：默认WordPress被pingback攻陷

漏洞概览：一个9.2分的Brotli内存破坏漏洞

一个 CVSS 9.2 的漏洞，CISA 把它写进了 KEV 名单，确认被利用。修复位置在操作系统层的 Brotli 包，WordPress 核心更新和插件更新都帮不上忙。我翻了 Patchstack 10 月 30 日的分析，越界堆写出现在 libbrotli 解码器里，这个库由 Google 开发，libcurl 用它处理 WordPress 出站 HTTP 响应中的压缩内容。问题出在依赖的组件上，WordPress 本身写的代码没问题，只是它调用的共享库出了事。这让我想起以前那些藏在共享库里的漏洞，表面上看应用无辜，实际却是整条链路最弱的一环 来源：hatamoto.dev。

受影响版本从 1.0.3 到 1.2.0，修复版本是 1.0.10、1.1.1 和 1.2.1，2026 年 10 月 21 日发布。Debian 和 Ubuntu 把补丁 backport 到 1.1.0 分支，所以不同发行版实际修补的版本号不一样。Google 给了 9.2 分，实际攻击效果只到 PHP worker 崩溃或挂起，不涉及远程代码执行 来源：hatamoto.dev。

CISA 在 10 月 27 日把它加入 KEV 列表，标注已被利用（Exploited 为 Yes）。从补丁发布到列入 KEV 中间只有 6 天，这比我预想的快。Patchstack 10 月 30 日的分析确认，在未修补的库上，解码器会越界写缓冲区，导致 PHP worker 崩溃或挂起 来源：hatamoto.dev。

攻击路径：默认WordPress安装如何被pingback触发

攻击者不需要任何认证。往 xmlrpc.php 发一个 pingback 请求，WordPress 就会去抓取请求里指定的源 URL。攻击者的服务器返回一个用 Brotli 压缩的响应体，libcurl 在 WordPress 看到任何内容之前就解码它。解码过程中越界写，PHP worker 就崩了 来源：hatamoto.dev。

触发条件里，XML-RPC 可达和已发布文章接受 pingback 是默认配置。除了 pingback，插件抓取用户提供的 URL 也能触发，oEmbed 功能（Contributor 及以上）同样可以，管理员配置的 feeds 也是路径之一。这些路径都让 WordPress 发出出站 HTTP 请求，而 WP_Http 通过 Requests 库的 cURL transport 处理它们，那个 transport 告诉 libcurl 接受任何压缩编码并自动解压，没有设置能关掉 来源：hatamoto.dev。

修复只可能在操作系统层。Brotli 包升级到 1.0.10、1.1.1 或 1.2.1，或者用发行版提供的 backport。没有 WordPress 核心更新，也没有插件更新能堵上这个洞。原文作者的建议是，先确认主机已安装补丁，同时把 pingback 路由关掉作为临时措施 来源：hatamoto.dev。

多源交叉验证：Patchstack、CISA与系统包管理器的不同视角

Patchstack 在 10 月 30 日发布分析，确认漏洞可以在默认 WordPress 安装上通过 pingback 触发。CISA 的 KEV 列表在 10 月 27 日就出现了，比 Patchstack 早 3 天。这个先后顺序说明，漏洞在被公开分析之前就已经被实际利用 来源：hatamoto.dev。

Google 给的 9.2 分看起来吓人，但实际后果只是 worker 崩溃或拒绝服务。CISA 把'已被利用'写进 KEV，这改变了事情的严重性。一个能稳定触发崩溃的洞，即使不执行代码，在共享主机或多租户环境里也足以拖垮服务 来源：hatamoto.dev。

Debian 和 Ubuntu 走的是 backport 路线，在 1.1.0 分支提供修复，与上游的 1.0.10、1.1.1、1.2.1 不同。这意味着用户需要看自己发行版的公告，光看 Brotli 主版本号会搞错。原文作者把修复责任落在操作系统层，这个判断对依赖插件生态的 WordPress 用户来说有点反直觉，但事实如此 来源：hatamoto.dev。

这个漏洞给我的教训是，WordPress 的安全边界跟着它的依赖走，插件写得再好也挡不住底层库出问题。出站 HTTP 请求用 libcurl，libcurl 信任 Brotli，Brotli 出问题，WordPress 就跟着遭殃。而 WordPress 和插件无法修复，只能等系统包更新。如果你还在跑默认配置，现在该做的是把系统包升级到补丁版本，同时关掉 pingback 路由做缓冲。HN 上那条帖子只有 1 个 point、0 条评论，大概大家都还没反应过来 来源：hatamoto.dev。

原文：

Brotli CVE-2026-111497 reaches stock WordPress through pingbacks · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年11月9日