ACF Extended PRO 嚴重漏洞 CVE-2026-120534：特定表單或伺服器設定可導致遠端程式碼執行
情報摘要
Wordfence 披露 ACF Extended PRO 0.9.2.6 及以前版本存在程式碼注入漏洞。未登入攻擊者在指定條件下可呼叫任意 WordPress 函式；其中一條途徑要求表單啟用非預設的 shortcode_preview，另一條則要求伺服器缺少 OpenSSL 函式。Wordfence 評為 CVSS 3.1 9.8 分，並列出 0.9.2.7 為修補版本。
問題位於 PRO 外掛的 Dynamic Render 欄位處理：表單設定在合併及交給函式呼叫前未充分驗證，令未認證攻擊者在符合條件時可控制傳入任意 WordPress 函式的參數。
Wordfence 列出兩條不同途徑。第一條要求管理員為目標表單啟用非預設的 shortcode_preview；第二條要求伺服器環境沒有 OpenSSL 函式，使 ACF Pro 的解密處理退回未經驗證的 base64 解碼。管理員應逐項核對實際設定與環境。
Wordfence 將 0.9.2.7 列為修補版本；ACF Extended 官方 2026 年 8 月 27 日的 0.9.2.7 更新紀錄，亦列明修正 PRO 表單 shortcode preview 的安全問題。官方其後於 10 月 19 日發布 0.9.2.8。
Wordfence 通報的首次公開日期是 2026 年 9 月 14 日，CVE Program 記錄則於 11 月 3 日發布。本文公告日期採用前者；11 月 3 日並非漏洞首次公開的日期。
受影響產品
WordPress 外掛 Advanced Custom Fields: Extended PRO（ACF Extended PRO），0.9.2.6 及以前版本
適用讀者
使用 ACF Extended PRO 表單功能的香港網站管理員、開發公司及網站代管團隊
建議行動
核對是否安裝 ACF Extended PRO 及其版本，優先升級至官方已提供的 0.9.2.8 或其後適用的已修補版本。Wordfence 列出的本漏洞最低修補版本為 0.9.2.7。安排更新時，同時檢查表單的 shortcode_preview 設定及 PHP 環境的 OpenSSL 函式是否可用；只關閉其中一條途徑不能取代安裝修補。
風險評級依據
Wordfence 作為 CNA 提交的 CVE 記錄列出 CVSS 3.1 9.8 分（Critical），向量為 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。風險涉及未認證的遠端程式碼執行，但須同時核對公告列明的表單設定或伺服器環境條件。
解讀限制
本 CVE 的受影響產品範圍是 ACF Extended PRO；不能據此把免費 ACF Extended、ACF 核心或所有 WordPress 網站一概列為受影響。
所核對通報未確認實際攻擊或香港受害個案；受影響版本與設定需要修補評估，並不代表網站已遭入侵。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。