中文威胁行为者利用 WordPress 与 Zyxel 漏洞窃取政府相关数据

据 BleepingComputer 于 2026 年 9 月 23 日发布的报道，一个使用中文的威胁行为者正在利用 Zyxel GS1900 Smart Managed Switches 与 WordPress 中的漏洞，针对后端系统与联网设备发起入侵，并窃取敏感数据。来源显示，相关活动已涉及 996 台设备，以及存储在后端数据库中的 超过 18,500 条记录。从事件性质看，这并非单一网站被攻破，而是同时覆盖网络交换设备与网站应用层的复合型攻击，对政府机构、承包商以及关联服务提供方都具有较高风险。

此次事件的关键在于，攻击者并未只依赖传统钓鱼或账号撞库，而是瞄准了常见基础设施中的漏洞：一类是 Zyxel GS1900 智能网管交换机，另一类是广泛部署的 WordPress 站点。前者通常处在内部网络或边界管理位置，后者则常承载门户、公告、后台管理或数据交互功能。一旦这些组件被利用，攻击者可能获得进入系统、读取数据库、横向移动或持续收集信息的机会。

攻击面为何值得政府与公共部门警惕

政府相关系统通常由多类设备、网站、后台数据库和外包运维平台共同组成。WordPress 的普及度较高，插件、主题与后台账号管理若长期缺乏更新，容易成为入口；而网络交换设备虽然不直接面对公众用户，但一旦管理接口暴露、固件滞后或配置不当，也可能被远程利用。报道中提到的数据窃取规模说明，攻击者关注的不只是拿下单个网页，而是后端记录与设备资产本身。

从隐私安全角度看，超过 18,500 条后端记录被窃取可能意味着身份信息、业务记录、访问日志或内部资料存在泄露风险。即使公开报道未披露具体数据类型，相关组织仍应按敏感信息暴露来处理，尽快完成日志审计、数据库访问检查和凭据轮换。

对 VPN 用户与远程访问安全的影响

这类事件也提醒远程办公和 VPN 用户：VPN 只能保护传输通道，并不能自动修复服务器、网站或交换机中的漏洞。如果单位内部的 WordPress 后台、网络设备管理口或数据库权限配置存在缺陷，即便用户通过加密隧道访问，后端仍可能被攻击者利用。因此，VPN 应被视为整体安全架构的一部分，而不是唯一防线。

对个人用户而言，若曾访问受影响机构网站、提交过表单信息或使用政府相关服务，应留意后续通知，关注账号异常登录、可疑邮件与身份信息滥用风险。对机构管理员而言，应将 VPN 访问控制与补丁管理、最小权限、日志监控结合起来。对于需要在公共网络中访问工作系统的用户，选择具备稳定加密连接的工具，例如 RedGate VPN，可作为降低链路窃听风险的可选措施，但仍需配合服务端安全加固。

建议立即排查的重点

• 检查 Zyxel GS1900 设备：确认固件版本、管理接口暴露情况、访问控制列表与异常登录记录。
• 审计 WordPress 环境：排查核心程序、插件、主题是否存在未更新组件，并检查管理员账号与可疑文件。
• 核查后端数据库：关注异常查询、批量导出、陌生 IP 访问和非业务时间的数据读取行为。
• 轮换敏感凭据：包括后台管理员、数据库账号、设备管理账号以及与第三方服务连接的密钥。
• 强化远程访问策略：限制来源地址，启用多因素认证，并将 VPN 登录日志纳入统一监控。

总体来看，这起攻击反映出一个现实问题：公共部门的安全风险往往不是来自单一薄弱点，而是来自网站应用、网络设备与数据库之间的联动暴露。对于管理者来说，及时修补漏洞、梳理资产和减少不必要的外部暴露，是比事后补救更有效的防线；对于普通用户来说，保持账号安全意识、谨慎处理来自机构名义的邮件与链接，同样是保护个人隐私的重要步骤。