上个月帮朋友查一个WordPress站，模板漏洞刚打开首页就弹出了博彩广告。模板漏洞服务器没被黑，模板漏洞数据库也没被拖，模板漏洞问题出在他半年前装的模板漏洞一个“极简联系表单”插件上。那个插件最后一次更新停在2022年，模板漏洞作者早就不维护了。模板漏洞攻击者扫到插件目录下的模板漏洞一个PHP文件，直接POST了一段代码进去，模板漏洞站点就易主了。模板漏洞

这种事每天都在发生。模板漏洞模板漏洞——我指的模板漏洞是广义上那些现成的主题、插件、模板漏洞建站框架——正在变成最省事的模板漏洞入侵通道。不是模板漏洞因为它技术含量高，恰恰相反，是因为用它的人太多了，而写它的人未必都靠谱。

去年Sucuri出了一份报告，说被感染的WordPress站点里，超过四成的问题源头是插件和主题。这个数字我信。你看Envato Market上那些卖几十美元的模板，很多作者一个人维护几十个产品，更新日志里写着“兼容最新版本”，点进去一看，不过是改了个版本号。真正的安全补丁？没有。

一个模板是怎么变成漏洞的

拿最常见的文件上传功能举例。很多模板为了“用户体验”，允许用户在前端上传头像、附件、甚至自定义CSS。代码写得好，会校验MIME类型、限制扩展名、把文件存到非Web目录。写得烂的，直接move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/' . $_FILES['file']['name'])——文件名原封不动，路径就在网站根目录下。你传个.php上去，浏览器一访问，服务器就替你执行了。

这不是什么高级漏洞。OWASP Top 10里排了多少年了。但模板作者不管这个，他们关心的是演示站好不好看，动画流不流畅。安全？那是“企业版”才考虑的事。

更麻烦的是供应链。一个热门模板可能被几千个站点用着，一旦爆出漏洞，攻击者写个批量扫描脚本，一晚上能打穿几百个站。去年Elementor Pro的那个漏洞就是这样，WPScan一公布，第二天全网都在扫。

为什么修不好

我见过一个做外贸的朋友，网站用的是某宝买的“外贸独立站模板”，三百块。我问他为什么不换，他说换模板要重新排版、重新调SEO、重新对接支付，“太麻烦了”。这个“太麻烦”就是模板漏洞修不好的根本原因——沉没成本太高，迁移成本更高。

另一个原因是信息不对称。普通用户根本不知道自己的模板有没有漏洞。后台那个“有更新可用”的红点，很多人直接忽略。你问他为什么不点，他说“怕更新完网站坏了”。这个担心不是没道理，我见过太多更新完白屏的案例。

能做什么

如果你现在管着一个用现成模板搭的站，第一件事：打开wp-content/plugins目录，看看哪些插件半年没更新了。第二件事：装个WPScan或者类似的工具扫一遍，看看有没有已知漏洞。第三件事：把wp-config.php里的DISALLOW_FILE_EDIT设成true，至少堵住后台直接改代码这条路。

长期来看，要么选那些有安全团队维护的商业模板，要么干脆自己写。自己写也未必安全，但至少你知道每一行代码是干什么的。模板的问题从来不是模板本身，而是用模板的人以为它没问题。

我那个朋友的站最后恢复了，花了两个晚上清理后门、改密码、换插件。他跟我说以后再也不装来路不明的插件了。我说你上次也是这么说的。