9月17日內容管理平臺WordPress發布7.1.1版，一共修補11個資安弱點，其中一個是資安公司Pwn.ai揭露尚未取得CVE編號的重大漏洞Click2Shell，當中還有另一個引發關注的漏洞是由資安研究員Rafie Muhammad通報。
Muhammad指出，他在9月上旬向WordPress通報資安漏洞Comment2Shell（CVE-2026-93485），此為零點擊弱點，攻擊者可透過匿名的特製留言，在未通過身分驗證的狀態下，在特定的區塊或佈景主題的呈現過程，使用即時的JavaScript事件處理程式，把良性的HTML轉換成惡意的HTML內容，進而將跨網站指令碼（XSS）轉變成遠端程式碼執行（RCE）攻擊，CVSS嚴重程度評為7.1分。
Muhammad強調，攻擊流程只需載入網頁就能啟動 ，攻擊者甚至可藉由管理員的連線階段（session）上傳外掛檔案，進一步於WordPress提升權限並執行程式碼。