IT之家8月22日消息，安全研究机构WPScan发文透露，WordPress扩展W3 Total Cache存在严重安全漏洞，该漏洞编号为CVE-2026-18051，CVSS评分达到满分10.0分，该扩展拥有超过90万活跃安装量。
漏洞源于W3 Total Cache在处理缓存文件路径时存在缺陷，未将文件路径限制在指定目录范围内，导致攻击者可以将文件写入服务器上的任意现有目录，包括网站根目录之外的位置。若网站运行在Apache服务器上，攻击者还可能覆盖.htaccess配置文件，导致网站无法正常运行，或修改、删除安全防护规则。
WPScan发现漏洞后已通报插件开发商BoldGrid，并宣布将于9月17日公开PoC漏洞验证。目前BoldGrid已发布修复漏洞的2.10.5版本，使用W3 Total Cache 2.10.4及更早版本的WordPress网站管理员应尽快升级至2.10.5版本，以避免被黑客利用。