2017年5月3日，开源CMS软件WordPress被曝存在多个漏洞，其中一个高危漏洞可被远程利用执行任意代码，进而获取服务权限。
漏洞详情见下文。
漏洞编号
CVE-2016-10033
漏洞名称
WordPress未授权远程代码执行漏洞
官方评级
高危
漏洞描述
该漏洞存在于广泛使用的PHPMailer mail()函数功能。远程攻击者可以利用默认开启的PHPMailer来运行构造的恶意代码，无需登录即可触发该漏洞，从而获取系统权限。
漏洞利用条件和方式
系统必须要安装Exim4环境下，远程攻击者可以直接利用该漏洞。
漏洞影响范围
- WordPress < 4.7.1
- PHPMailer < 5.2.20
漏洞检测
检查WordPress和PHPMailer是否在受影响版本内。您可以打开wordpress/wp-includes/class-php-mailer.php文件，来查看对应的PHPMailer版本。
漏洞修复建议(或缓解措施)
该漏洞的PoC已经公开，建议您尽快升级到官方发布的4.7.4及以上版本来修复该漏洞，升级方案参见WordPress官方帮助文档。
您也可以使用云盾安骑士的补丁修复功能，一键修复该漏洞。
如果您使用Apache，那么您可以指定ServerName为您的网站域名，同时启用Apache的UseCanonicalName功能，以规避该漏洞带来的风险。
UseCanonicalName On
- Web中间件为Nginx的系统不受此漏洞影响。
情报来源
[1]. https://cxsecurity.com/issue/WLB-2017050014
[2]. https://wordpress.org/news/2017/01/wordpress-4-7-1-security-and-maintenance-release/