| 插件名稱 | LA-Studio 元素套件適用於 Elementor |
|---|---|
| 漏洞類型 | 後門 |
| CVE 編號 | CVE-2026-0920 |
| 緊急程度 | 嚴重 |
| CVE 發布日期 | 2026-01-21 |
| 來源 URL | CVE-2026-0920 |
LA‑Studio Element Kit for Elementor 中的關鍵後門 (CVE‑2026‑0920) — WordPress 網站擁有者現在必須做的事情
更新： 2026 年 1 月 21 日
CVE： CVE‑2026‑0920 — 插件版本 <= 1.5.6.3 存在漏洞；在 1.6.0 中修復。.
嚴重性： CVSS 9.8 (高)。攻擊向量：未經身份驗證。分類：後門 / 權限提升。.
從香港安全專家的角度來看：這是一個緊急的高風險披露，要求立即採取實際行動。請仔細遵循以下步驟，如果您在生產環境中托管受影響的網站，請優先考慮控制措施。.
TL;DR
- 在 LA-Studio Element Kit for Elementor（版本 ≤ 1.5.6.3）中發現了一個後門。它允許未經身份驗證的攻擊者通過一個隱藏參數創建管理用戶（報告為
lakit_bkrole），從而實現完全控制網站。. - 如果您運營的任何 WordPress 網站上安裝了此插件：請立即驗證版本並更新至 1.6.0 或更高版本。.
- 如果您無法立即更新：請停用或移除該插件，並在網絡服務器/WAF 層面應用立即阻止規則，以停止試圖利用隱藏入口的請求。.
- 掃描新的管理員、可疑用戶、意外文件和其他妥協指標（IoCs）。將任何正面發現視為潛在的妥協，並遵循事件響應程序。.
為什麼這麼緊急
- 後門允許持久的、隱秘的訪問——攻擊者可以在初次利用後返回。.
- 此後門可在無需身份驗證的情況下被利用；任何遠程行為者都可以觸發它。.
- 它允許創建管理帳戶，授予完全的網站控制權。.
- 由於這些特性，對機密性、完整性和可用性的影響很高（CVSS 9.8）。.
- 公開披露意味著大規模掃描和利用嘗試將迅速跟進；迅速行動至關重要。.
我們對漏洞的了解（摘要）
- 受影響的軟體： LA‑Studio Element Kit for Elementor（WordPress 插件）
- 易受攻擊的版本： 任何版本在 1.5.6.3 或以下
- 修復於： 1.6.0
- 漏洞類型： 後門導致未經身份驗證的特權提升（管理用戶創建）
- 向量： 接受報告中識別的參數的未記錄入口點
lakit_bkrole可以觸發管理用戶創建 - 發現： 由安全研究人員報告並於 2026 年 1 月 21 日公開披露
- CVE： CVE‑2026‑0920
- CVSS v3.1 基本分數： 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
注意： 攻擊有效載荷在此不再重複。目標是幫助防禦者快速檢測和修復。.
攻擊如何運作（高層次——以防禦者為中心）
報告指出該插件暴露了一個接受遠程輸入的入口點（報告參數 lakit_bkrole），並以可以創建或提升用戶至管理權限的方式處理它。攻擊者可以構造一個 HTTP 請求到該端點，並在目標網站上獲得特權帳戶。.
管理員創建後可能的攻擊者行動：
- 安裝持久的後門和網絡殼
- 部署惡意軟件、創建定時任務或修改網站內容
- 竊取資料庫、用戶數據和憑證
- 劫持電子郵件、支付或業務工作流程
- 將網站用作其他基礎設施的樞紐
真實攻擊場景
- 大規模妥協： 攻擊者掃描互聯網並在許多網站上創建管理帳戶。.
- 定向接管： 攻擊者針對高價值網站，獲得管理訪問權限並進行更深層的橫向移動。.
- 供應鏈濫用： 被盜的憑證或API密鑰在網站本身之外被濫用。.
我是否脆弱？立即檢查
-
插件版本
檢查WordPress管理員 → 插件中是否有“LA‑Studio Element Kit for Elementor”。如果版本 ≤ 1.5.6.3，則您存在漏洞。.
WP‑CLI 示例：
wp 插件列表 --格式=表格 | grep lastudio-element-kit -
新的或意外的管理員帳戶
在WP管理員中檢查所有用戶以查找不熟悉的管理帳戶。.
WP-CLI：
wp 用戶列表 --角色=管理員 --字段=ID,user_login,user_email,display_name,registered -
可疑的用戶和角色
尋找非標準角色或修改的權限。.
wp eval 'print_r(get_editable_roles());' -
文件修改和可疑文件
在上傳或插件目錄中搜索修改過的插件文件和意外的PHP文件。.
find /path/to/wp-content -type f -mtime -30 -name '*.php' -ls -
日誌和訪問模式
檢查網絡服務器日誌中對插件端點的異常POST/GET請求，特別是包含異常參數的請求。.
-
數據庫檢查
查詢用戶表以獲取最近的條目：
SELECT ID,user_login,user_email,user_registered FROM wp_users WHERE user_registered > '2026-01-01' ORDER BY user_registered DESC;
如果任何檢查顯示可疑結果 — 將網站視為可能被攻擊並遵循遏制和調查程序。.
立即緩解步驟（前 60 分鐘）
-
立即將插件更新至1.6.0或更高版本
這是最終修復。如果您可以安全更新，請立即進行。.
-
如果無法立即更新
- 停用插件：WP管理員 → 插件 → 停用，或：
wp plugin deactivate lastudio-element-kit - 如果停用失敗，請將插件文件夾重命名以禁用它（保留文件以供調查）：
-
應用虛擬修補/阻止規則
如果您控制網路應用程式防火牆 (WAF)、主機防火牆或網頁伺服器規則集，請建立一條規則以阻止嘗試使用可疑參數 (例如，,
lakit_bkrole) 調用插件端點的請求。這樣可以在您更新和調查時爭取時間。. -
鎖定訪問
如果您看到掃描活動，暫時按 IP 限制管理區域訪問或阻止可疑的 IP 範圍。根據需要使用 .htaccess 或主機控制。.
-
旋轉憑證
更改管理密碼 (WordPress、數據庫、主機面板、FTP/SSH) 並撤銷 API 密鑰和令牌。僅在網站確認乾淨後重新發放憑證。.
-
檢查持久性
搜尋後門 (上傳、mu-plugins、cron 任務)、對 wp-config.php 的編輯以及其他持久性機制。.
-
快照並保存
在進行進一步更改以進行取證分析之前，進行完整備份 (文件 + 數據庫) 並保留日誌。.
mv wp-content/plugins/lastudio-element-kit wp-content/plugins/lastudio-element-kit.bak如何清理和恢復（如果確認受到損害）
-
隔離並保存
將網站下線或置於維護模式。保留日誌、備份和可疑文件。.
-
確定範圍
清點惡意文物、新增的管理帳戶和事件時間線。確定潛在的數據外洩。.
-
移除後門
用來自官方來源的乾淨副本替換修改過的核心、插件和主題文件。刪除上傳和可寫目錄中的可疑文件。.
-
清理數據庫。
刪除未經授權的管理員帳戶和可疑的用戶元數據。檢查
wp_options是否存在惡意自動加載條目和計劃任務鉤子。. -
加固並恢復
使用修復版本 (1.6.0 或更高版本) 重新安裝插件，或者如果您不信任該插件則完全刪除它。重置密碼並輪換憑證。更新所有 WordPress 核心、主題和插件。.
-
恢復後監控
啟用增強日誌記錄和文件完整性監控。監控出站連接以檢測可疑活動。.
如果恢復超出您團隊的能力，請尋求經驗豐富的 WordPress 取證專業事件響應提供商的幫助。.
檢測與妥協的指標 (IoCs)
- 在 2026 年 1 月 21 日或之後新創建的管理員帳戶。.
- 向插件端點發送的異常 HTTP 請求，包含類似的參數
lakit_bkrole. - 在以下位置出現意外的 PHP 文件：
wp-content/uploads/wp-content/plugins/lastudio-element-kit/wp-content/mu-plugins/
- 異常的排程事件 (wp-cron) 或在插件移除後仍然存在的 mu-plugins。.
- 無法解釋的變更至
wp_options（惡意自動加載的條目）。. - 從網頁伺服器向可疑 IP/域名的出站連接。.
保留可疑文件和日誌的副本以供分析和報告。.
WAF / 虛擬修補指導（技術）
如果您管理自己的 WAF 或網頁伺服器規則，請採取保守的阻止和警報措施。目標是減少攻擊面而不干擾合法的管理使用。.
- 阻擋路徑包含的請求
/wp-content/plugins/lastudio-element-kit/和參數包括lakit_bkrole. - 對於針對插件路徑的異常有效載荷大小或未知用戶代理，進行速率限制或阻擋請求。.
- 對於任何發送到插件路徑的 HTTP 請求，創建警報，這些請求後跟用戶創建事件或其他後端更改。.
- 調整簽名以減少誤報 — 優先在面向公眾的網站上阻擋，並在測試環境中進行監控。.
示例概念性偽規則：
如果 request_path 包含 '/wp-content/plugins/lastudio-element-kit/' 並且 request_params 包含 'lakit_bkrole'，則阻擋並記錄加固建議（超越修補）
- 最小特權原則： 只授予真正需要的帳戶管理員角色。.
- 多因素身份驗證： 對所有管理員帳戶強制執行 MFA。.
- 定期備份： 每日離線備份，並進行版本控制和恢復測試。.
- 文件完整性監控： 對意外變更發出警報
wp-content,9. 或使用使會話失效的插件。在可行的情況下強制執行雙因素身份驗證。和其他關鍵文件。. - 安全標頭和 HTTPS： 確保 TLS 是最新的，並在適當的情況下實施 HSTS、CSP。.
- 禁用文件編輯： 在 wp-config.php 中：
define('DISALLOW_FILE_EDIT', true); - 限制管理區域訪問： 如果可行，使用伺服器/WAF 控制僅允許來自已知 IP 範圍的管理訪問。.
- 漏洞管理： 監控更新並訂閱可靠的漏洞信息源。.
- 沙盒測試： 在生產部署之前，在測試環境中測試插件更新。.
事件響應手冊（簡明）
- 偵測：透過日誌、警報或完整性監控識別可疑活動。.
- 限制：停用易受攻擊的插件並阻擋攻擊流量。.
- 分析：保留日誌/備份並掃描文物。.
- 根除：移除惡意文件和帳戶，然後修補漏洞。.
- 恢復：恢復乾淨的網站，驗證功能並更換憑證。.
- 事件後：進行根本原因分析，調整控制措施並記錄經驗教訓。.
常見問題
- 問：我更新了插件——我還需要掃描我的網站嗎？
- A：是的。更新可以防止未來的利用，但不會刪除更新之前創建的後門或帳戶。掃描和審計持久性。.
- 問：我可以僅依賴 WAF 而不更新嗎？
- A：WAF可以提供即時保護（虛擬修補）並爭取時間，但不能替代應用代碼修復。儘快更新插件並使用深度防禦。.
- 問：如果我發現可疑的管理帳戶——我應該刪除它嗎？
- A：首先導出並保留證據（用戶詳細信息、日誌）。然後禁用該帳戶（重置密碼，強制登出）。如果確認為惡意，則移除並檢查其他持久性。.
- 問：我如何檢查找不到的隱藏後門？
- A：使用多個掃描工具，將文件與乾淨副本進行比較，檢查計劃任務和數據庫鉤子。如果不確定，請引入取證專家。.
時間表（建議的立即行動）
- 0–15 分鐘： 確認插件版本。如果易受攻擊，則停用或應用阻擋規則。更改關鍵密碼。.
- 15–60分鐘： 掃描新管理員和可疑文件。快照伺服器並保留日誌。.
- 1–24小時： 將插件更新至1.6.0（或如果不可信則移除插件）。清理任何發現的持久性。.
- 24–72 小時： 繼續監控，加強和更換憑證。進行全面審計。.
- 持續進行： 維持漏洞掃描、監控和定期備份。.
為什麼虛擬修補和WAF對於此類事件很重要
後門在披露後通常會迅速被利用。虛擬修補（在邊緣阻擋利用嘗試）提供了修補和調查的關鍵窗口。這是一個權宜之計——不是替代上游代碼修復的方案——但可以在您進行修復時防止大規模妥協。.
示例安全命令和檢查（僅限防禦）
列出已安裝的插件及版本
給網站擁有者和管理者的最終備註
- 如果您托管易受攻擊的插件，請將此披露視為緊急情況。.
- 修補是確定的解決方案——插件開發者發布了1.6.0版本以修復該問題。.
- 如果您無法立即更新，請將插件下線並在網絡伺服器/WAF層應用阻擋規則，直到您能驗證完整性。.
- 定期審計、最小權限、多因素身份驗證和可靠監控大大減少了此類事件的影響範圍。.
結論 — 建議的後續步驟
現在行動：驗證版本、限制暴露的網站、保存證據，並更新到修復的插件版本。如果您缺乏內部的取證分析或恢復能力，請聘請一支在 WordPress 和網頁託管環境中經驗豐富的知名事件響應團隊。.
從香港到全球運營商：快速、紀律性的反應是限制事件和網站接管之間的區別。優先考慮限制、保存證據，然後進行修復和加固。.
