ZONE.CI 全球网

WordPress6.9-7.0.1核心存在两个漏洞组合：CVE-2026-63030路由混淆和CVE-2026-60137SQL注入。攻击者无需登录即可通过batchAPI发送请求，利用数组错位将未净化的字符串传入wp\\_query，导致SQL注入，可读取管理员密码hash等敏感数据。补丁修复了类型检查和数组对齐问题。

WordPressCore在2026年7月修复了两个高危漏洞CVE-2026-60137（SQL注入）和CVE-2026-63030（RESTAPI路由混淆），两者可组合形成攻击链，在特定条件下实现远程代码执行。影响版本包括6.8.x至7.0.x，官方已在6.8.6、6.9.5和7.0.2中修复。建议网站管理员立即更新核心、主题和插件，并加强日志监控与访问控制。

WordPresswp2shell攻击链由CVE-2026-63030和CVE-2026-60137串联构成，影响6.9.0-6.9.4、7.0.0-7.0.1及7.1beta1版本，默认配置下无需认证即可实现远程代码执行。攻击通过RESTAPIbatch/v1路由混淆和WP\\_QuerySQL注入完成，已有野外利用和公开PoC。建议立即升级至6.9.5/7.0.2/7.1beta2，并检查日志和数据库IOC。

本文复现了WordPress两个远程命令执行漏洞CVE-2026-63030和CVE-2026-60137，影响多个版本。攻击者可通过未授权SQL注入获取管理员密码哈希，进而实现代码执行。文章提供了测绘语法、检测POC及修复建议，但文末包含付费圈子推广，需注意合规使用。

WordPressRESTAPI存在两个高危漏洞组合利用(CVE-2026-63030和CVE-2026-60137)，攻击者无需认证即可通过路由混淆绕过权限检查，结合SQL注入提取用户密码哈希，进而登录高权限账户实现远程代码执行，完全控制服务器。影响WordPress6.8.0至7.0.2版本，官方已发布安全更新，建议立即升级至7.0.2或更高版本，并可通过WAF阻断/batch/v1路径作为临时缓解措施。

WordPress核心漏洞wp2shell(CVE-2026-63030和CVE-2026-60137)允许匿名攻击者在默认配置下通过单个HTTP请求实现远程代码执行。攻击链利用RESTAPI路由混淆和SQL注入提取管理员密码哈希，进而获取服务器控制权。影响WordPress6.9.0至7.0.1版本，PoC已公开。最优先的修复措施是立即升级至6.9.5或7.0.2及以上版本，临时缓解措施包括WAF拦截和禁用RESTAPI。

RestrictMate1.3.0之前版本存在严重漏洞，允许匿名用户通过注册表单直接创建管理员账户，导致站点完全控制权丧失。漏洞源于服务端未验证客户端提交的角色字段。建议立即关闭公开注册、升级插件、检查异常管理员账号并重置凭据。普通用户应警惕非本人发起的角色变更，运营人员需加强插件清单与入口管理。

TranslatePress插件存在严重漏洞CVE-2026-19632，CVSS评分9.8，影响3.3.1及以下版本，超过40万个WordPress网站面临账户劫持风险。攻击者可未经认证窃取管理员密码重置链接，从而完全控制网站。该漏洞源于插件翻译邮件内容并公开暴露AJAX接口。目前无在野利用或公开PoC，但建议立即更新至3.3.2版本以修复问题。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

RestrictMate1.3.0之前版本存在严重漏洞，允许匿名用户通过注册表单直接创建管理员账户，导致站点完全控制权丧失。漏洞源于服务端未验证客户端提交的角色字段。建议立即关闭公开注册、升级插件、检查异常管理员账号并重置凭据。普通用户应警惕非本人发起的角色变更，运营人员需加强插件清单与入口管理。

TranslatePress插件存在严重漏洞CVE-2026-19632，CVSS评分9.8，影响3.3.1及以下版本，超过40万个WordPress网站面临账户劫持风险。攻击者可未经认证窃取管理员密码重置链接，从而完全控制网站。该漏洞源于插件翻译邮件内容并公开暴露AJAX接口。目前无在野利用或公开PoC，但建议立即更新至3.3.2版本以修复问题。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

奇安信CERT发布WordPressClick2Shell核心预认证远程代码执行漏洞(QVD-2026-70986)通告，该漏洞影响WordPress多个版本，CVSS评分8.8，评级高危，POC和EXP已公开。攻击者可诱导管理员访问构造URL实现任意代码执行，完全控制站点。建议及时更新至安全版本，审计移除未使用主题，配置WAF拦截并加强日志审计。

WordPress核心主题预览功能存在选择器注入漏洞（Click2Shell），影响7.1.1以下版本，结合第三方主题缺陷可实现远程代码执行。官方已发布补丁，建议升级至7.1.1并清理不必要主题、限制后台访问以降低风险。

WordPressCore存在未认证存储型XSS漏洞CVE-2026-93485，可导致RCE。影响多个版本分支，官方已发布修复版本。360漏洞研究院已成功复现该漏洞，建议用户尽快升级至安全版本，并关注相关安全产品规则更新。

WordPress插件MStoreAPI存在认证绕过漏洞CVE-2026-13447，影响版本≤4.20.0，修复版本4.21.1。漏洞源于JWT伪造，未校验签名，可冒用任意手机号登录已有账号或创建新账号，CVSS评分9.8。建议立即升级至4.21.1或更高版本。

WordPress核心wpautop()函数存在CVE-2026-93485存储型XSS漏洞，未认证评论经过滤器级联转换可零点击触发恶意脚本，结合提权链实现RCE。影响所有4.7及以上版本，7.1.1已修复并回溯补丁。建议立即升级至最新版本，并审查评论审核设置。

360漏洞研究院披露WordPress核心未认证路径遍历漏洞CVE-2026-87902，CVSS评分8.1，影响多个版本分支，特定条件下可致远程代码执行。官方已发布修复版本，建议用户尽快升级至指定安全版本。360已成功复现该漏洞，并发布防护方案与检测规则，以降低被攻击风险。

文档指出WordPress在9月17日发布7.1.1修复Click2Shell漏洞后，9月22日又发布7.1.2修复CVE-2026-87902路径穿越漏洞，两轮补丁并非同一件事。站点需核对当前版本、两条漏洞修复线，不能因上周升过级而停止升级。建议升级至7.1.2或对应回移版本，并核验主题目录、PHP配置及日志，区分扫描尝试与成功执行。

WordPress核心存在CVE-2026-87902未授权路径遍历漏洞，可致条件性RCE，影响跨度长达九年的所有版本，CVSS评分9.2。攻击者无需认证即可利用，在满足特定主题目录、PEAR组件及PHP配置等前置条件下可完全控制服务器。官方已在7.1.2版本修复并向下回移植，建议用户立即更新并核查利用迹象。