ZONE.CI 全球网

WordPress插件UncannyAutomator<=7.3.2存在SQL注入漏洞(CVE-2026-65462),源于sanitize_text_field()未转义SQL通配符导致LIKE注入,PoC可探测数据库长度,建议用户立即更新插件至最新版本以修复漏洞。

WordPressCodingStandards工具爆出CVE-2026-45293任意代码执行漏洞，CVSS评分8.6，影响超4900万次安装。该漏洞源于检查脚本版本参数的规则误用eval函数，攻击者可通过恶意构造的PullRequest在CI流水线的代码检查阶段触发漏洞。值得注意的是，该漏洞不影响运行中的WordPress网站，仅威胁扫描不受信任代码的开发环境和CI系统。建议用户立即升级至3.4.1或更高版本，若无法升级可临时排除相关检测规则以规避风险，目前暂无在野利用报告。

WordPressCore存在预认证XSS远程代码执行漏洞(CVE-2026-64638)，影响6.4至7.0.2版本，CVSS评分9.8。攻击者无需认证即可通过登录失败流程注入DOM，结合SOME技术窃取管理员ApplicationPassword，最终上传恶意插件实现RCE。官方已发布7.0.3版本修复，建议立即升级或临时禁用ApplicationPassword。

WordPressCore在2026年7月修复了两个高危漏洞CVE-2026-60137（SQL注入）和CVE-2026-63030（RESTAPI路由混淆），两者可组合形成攻击链，在特定条件下实现远程代码执行。影响版本包括6.8.x至7.0.x，官方已在6.8.6、6.9.5和7.0.2中修复。建议网站管理员立即更新核心、主题和插件，并加强日志监控与访问控制。

WordPress6.9-7.0.1核心存在两个漏洞组合：CVE-2026-63030路由混淆和CVE-2026-60137SQL注入。攻击者无需登录即可通过batchAPI发送请求，利用数组错位将未净化的字符串传入wp\\_query，导致SQL注入，可读取管理员密码hash等敏感数据。补丁修复了类型检查和数组对齐问题。

WordPresswp2shell攻击链由CVE-2026-63030和CVE-2026-60137串联构成，影响6.9.0-6.9.4、7.0.0-7.0.1及7.1beta1版本，默认配置下无需认证即可实现远程代码执行。攻击通过RESTAPIbatch/v1路由混淆和WP\\_QuerySQL注入完成，已有野外利用和公开PoC。建议立即升级至6.9.5/7.0.2/7.1beta2，并检查日志和数据库IOC。

本文复现了WordPress两个远程命令执行漏洞CVE-2026-63030和CVE-2026-60137，影响多个版本。攻击者可通过未授权SQL注入获取管理员密码哈希，进而实现代码执行。文章提供了测绘语法、检测POC及修复建议，但文末包含付费圈子推广，需注意合规使用。

WordPressRESTAPI存在两个高危漏洞组合利用(CVE-2026-63030和CVE-2026-60137)，攻击者无需认证即可通过路由混淆绕过权限检查，结合SQL注入提取用户密码哈希，进而登录高权限账户实现远程代码执行，完全控制服务器。影响WordPress6.8.0至7.0.2版本，官方已发布安全更新，建议立即升级至7.0.2或更高版本，并可通过WAF阻断/batch/v1路径作为临时缓解措施。

WordPress核心漏洞wp2shell(CVE-2026-63030和CVE-2026-60137)允许匿名攻击者在默认配置下通过单个HTTP请求实现远程代码执行。攻击链利用RESTAPI路由混淆和SQL注入提取管理员密码哈希，进而获取服务器控制权。影响WordPress6.9.0至7.0.1版本，PoC已公开。最优先的修复措施是立即升级至6.9.5或7.0.2及以上版本，临时缓解措施包括WAF拦截和禁用RESTAPI。

RestrictMate1.3.0之前版本存在严重漏洞，允许匿名用户通过注册表单直接创建管理员账户，导致站点完全控制权丧失。漏洞源于服务端未验证客户端提交的角色字段。建议立即关闭公开注册、升级插件、检查异常管理员账号并重置凭据。普通用户应警惕非本人发起的角色变更，运营人员需加强插件清单与入口管理。

TranslatePress插件存在严重漏洞CVE-2026-19632，CVSS评分9.8，影响3.3.1及以下版本，超过40万个WordPress网站面临账户劫持风险。攻击者可未经认证窃取管理员密码重置链接，从而完全控制网站。该漏洞源于插件翻译邮件内容并公开暴露AJAX接口。目前无在野利用或公开PoC，但建议立即更新至3.3.2版本以修复问题。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

TranslatePress插件存在严重漏洞CVE-2026-19632，CVSS评分9.8，影响3.3.1及以下版本，超过40万个WordPress网站面临账户劫持风险。攻击者可未经认证窃取管理员密码重置链接，从而完全控制网站。该漏洞源于插件翻译邮件内容并公开暴露AJAX接口。目前无在野利用或公开PoC，但建议立即更新至3.3.2版本以修复问题。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

一项分析显示超过70%的公共WordPress网站运行过时的PHP版本如PHP7.4已停止维护，导致严重安全漏洞。Censys研究316500个部署发现仅30%使用受支持版本。WordPress核心更新较频繁但底层PHP被忽视，攻击者利用未修补漏洞大规模入侵。建议组织及时升级PHP并注意插件更新以降低风险。

WordPress插件漏洞正被大规模武器化，攻击者利用未授权文件上传、RCE、SSRF及反序列化漏洞部署webshell，获取持久化远程访问权限。全球组织已受影响，应急响应需默认系统已遭入侵，立即隔离服务器、审查日志并清除恶意代码。建议立即应用供应商补丁，禁用或移除受影响插件，并强化Web服务器安全配置。

澳大利亚网络安全中心(ACSC)发布严重预警，指出全球攻击活动正利用CMS与插件的已知漏洞进行大规模扫描，影响WordPress、CraftCMS等17类产品。核心结论是网站被挂马通常非CMS品牌问题，而是已知漏洞未修补、弃用组件未清理及文件变化未监控。关键发现是补丁可用但许多站点未更新。可操作建议包括建立资产清单、立即更新、删除弃用插件、检查文件变化、网络隔离、启用MFA及验证备份。

WordPressRESTAPI存在严重漏洞CVE-2026-63030，允许未认证攻击者通过批处理路由混淆与SQL注入实现远程代码执行，CVSS评分9.8。影响版本6.9.0-6.9.4和7.0.0-7.0.1。官方已发布7.0.2和6.9.5修复版本，建议立即升级。临时缓解方案为阻断匿名访问RESTBatchAPI路径。安恒信息已复现该漏洞。

WordPress核心漏洞wp2shell允许远程代码执行，影响6.9和7.0版本，全球数百万网站面临风险。官方已发布6.9.5和7.0.2补丁并启动强制更新。建议站长立即更新版本并检查服务器日志，启用WAF作为额外防护。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。