Craft CMS 零日漏洞 CVE-2025-32432 现可通过公开 Metasploit 模块利用-云智核

Craft CMS 零日漏洞 CVE-2025-32432 现可通过公开 Metasploit 模块利用

发布时间：2025-11-05 03:44:37 来源：云智核作者：人工智能

安全研究人员Chocapikk近日发布了一个针对Craft CMS关键零日漏洞（编号CVE-2025-32432，零日漏洞CVSS评分为10分）的可通开M块利Metasploit利用模块。该远程代码执行（RCE）漏洞与Yii框架中的零日漏洞另一个输入验证漏洞（CVE-2024-58136）结合后，已被攻击者实际用于入侵服务器并窃取敏感数据。可通开M块利

CERT Orange Cyberdefense调查显示，零日漏洞攻击者通过串联Craft CMS中的可通开M块利两个零日漏洞实施入侵和数据窃取，目前相关攻击活动仍在持续。零日漏洞

攻击过程分为两个阶段：

站群服务器

这种巧妙的可通开M块利漏洞组合使攻击者能够在受感染服务器上安装基于PHP的文件管理器，从而获得对系统的零日漏洞完全控制权。SensePost报告指出，攻击者的恶意JSON载荷触发了服务器上会话文件中的PHP代码执行。

目前两个漏洞均已得到修复：

Craft CMS官方说明，云南idc服务商虽然未在系统内升级Yii框架，但通过自有补丁缓解了特定攻击向量。

怀疑系统可能遭到入侵的Craft CMS管理员应立即采取以下措施：

由于攻击尝试仍在持续，情况依然严峻。Chocapikk发布的专用Metasploit模块进一步降低了攻击者的技术门槛。如需获取包括IP地址和文件名在内的详细入侵指标(IOC)，请参阅完整的SensePost报告。