ZONE.CI 全球网

WordPressCore曝出高危预认证XSS漏洞CVE-2026-64638，CVSS8.9分。攻击者无需登录，通过构造恶意用户名在wp-login.php触发DOM注入，诱导管理员访问后可结合DOMClobbering窃取API凭据，最终实现远程代码执行。该漏洞影响7.0.2及以下版本，建议立即升级至7.0.3及以上版本进行修复。

WordPressCore存在预认证XSS远程代码执行漏洞(CVE-2026-64638)，影响6.4至7.0.2版本，CVSS评分9.8。攻击者无需认证即可通过登录失败流程注入DOM，结合SOME技术窃取管理员ApplicationPassword，最终上传恶意插件实现RCE。官方已发布7.0.3版本修复，建议立即升级或临时禁用ApplicationPassword。

WordPress6.9-7.0.1核心存在两个漏洞组合：CVE-2026-63030路由混淆和CVE-2026-60137SQL注入。攻击者无需登录即可通过batchAPI发送请求，利用数组错位将未净化的字符串传入wp\\_query，导致SQL注入，可读取管理员密码hash等敏感数据。补丁修复了类型检查和数组对齐问题。

WordPressCore在2026年7月修复了两个高危漏洞CVE-2026-60137（SQL注入）和CVE-2026-63030（RESTAPI路由混淆），两者可组合形成攻击链，在特定条件下实现远程代码执行。影响版本包括6.8.x至7.0.x，官方已在6.8.6、6.9.5和7.0.2中修复。建议网站管理员立即更新核心、主题和插件，并加强日志监控与访问控制。

WordPresswp2shell攻击链由CVE-2026-63030和CVE-2026-60137串联构成，影响6.9.0-6.9.4、7.0.0-7.0.1及7.1beta1版本，默认配置下无需认证即可实现远程代码执行。攻击通过RESTAPIbatch/v1路由混淆和WP\\_QuerySQL注入完成，已有野外利用和公开PoC。建议立即升级至6.9.5/7.0.2/7.1beta2，并检查日志和数据库IOC。

本文复现了WordPress两个远程命令执行漏洞CVE-2026-63030和CVE-2026-60137，影响多个版本。攻击者可通过未授权SQL注入获取管理员密码哈希，进而实现代码执行。文章提供了测绘语法、检测POC及修复建议，但文末包含付费圈子推广，需注意合规使用。

RestrictMate1.3.0之前版本存在严重漏洞，允许匿名用户通过注册表单直接创建管理员账户，导致站点完全控制权丧失。漏洞源于服务端未验证客户端提交的角色字段。建议立即关闭公开注册、升级插件、检查异常管理员账号并重置凭据。普通用户应警惕非本人发起的角色变更，运营人员需加强插件清单与入口管理。

TranslatePress插件存在严重漏洞CVE-2026-19632，CVSS评分9.8，影响3.3.1及以下版本，超过40万个WordPress网站面临账户劫持风险。攻击者可未经认证窃取管理员密码重置链接，从而完全控制网站。该漏洞源于插件翻译邮件内容并公开暴露AJAX接口。目前无在野利用或公开PoC，但建议立即更新至3.3.2版本以修复问题。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

PHP核心爆出php2shell漏洞（CVE-2026-109618/CVE-2026-109619），CVSS9.2分，源于session上传进度机制UAF缺陷，攻击者发送multipartPOST请求即可执行任意命令。PHP8.1及以下无官方补丁，仅8.2至8.5有修复。建议立即关闭session.upload\\_progress.enabled配置并升级至受支持版本，同时排查异常子进程和webshell落地。

WordPress插件Booktics存在高危SQL注入漏洞，编号CVE-2026-109894，影响版本1.0.29及以下，未经身份验证的攻击者可注入SQL语句提取敏感信息。目前POC未公开，官方已发布修复版本，建议用户立即升级至安全版本。

2026年10月21日CNVD公告PHP核心层两枚高危RCE漏洞（CVE-2026-109618、CVE-2026-109619），影响WordPress、Laravel等主流框架，POC已公开，攻击门槛低。建议升级至PHP8.5.12等修复版本，暂无法升级需落实FPM内存限制、WAF拦截等缓解措施，收缩公网暴露面。

PHP2Shell漏洞(CVE-2026-109618/109619)为CVSS9.2未授权RCE，影响PHP8.2-8.5，升级WordPress无效，需更新PHP解释器。补丁后须完成7件事：重启worker、关闭session.upload\\_progress、收紧请求体、排查日志IOC、检查主机异常、轮换密钥、先保全日志再重启。补丁仅遏制非清除，需按应急流程处置。

本文深入分析WordPress核心CVE-2026-87902漏洞，该漏洞源于页面模板解析链路中双重编码的pagename参数绕过清洗，导致未认证本地PHP文件包含，特定条件下可升级为远程代码执行。文章详细拆解了漏洞触发前提、完整调用链、GobyPOC的非破坏性验证方法、官方补丁的双层防御机制，并给出升级版本及WAF规则等具体修复建议。

WordPress核心存在两处可组合利用的高危漏洞，攻击者无需身份认证即可实现远程代码执行。漏洞链名为wp2shell，结合RESTAPI路由混淆漏洞与SQL注入漏洞，影响6.9.0至6.9.4及7.0.0至7.0.1版本。修复版本为6.8.6、6.9.5、7.0.2，建议立即升级并排查异常管理员账号与可疑插件。

WordPress核心存在两个可链接的严重漏洞，允许未认证攻击者远程执行代码。该利用链被称为WP2Shell，结合了RESTAPI路由混淆（CVE-2026-63030）和SQL注入（CVE-2026-60137），影响6.9.0至6.9.4和7.0.0至7.0.1版本。攻击者可通过公开端点逐步入侵服务器，创建管理员账户并部署WebShell。建议用户立即更新至已修复版本6.8.6、6.9.5或7.0.2。

CVE-2026-6279是WordPressAvadaBuilder插件（≤3.15.2）中的未授权远程代码执行漏洞，攻击者通过fusion_get_widget_markup接口将恶意数据传入call_user\\_func函数执行。影响全球超20万个站点，CVSS评分9.8。建议用户立即升级至3.15.3版本修复漏洞。

CNNVD最新漏洞周报显示WordPress漏洞数量居首，AI工具曝出高危漏洞；商业数据泄露致美军人员信息暴露，五角大楼防护措施滞后；Google工程师滥用搜索数据非法获利，暴露内部威胁风险；新型钓鱼攻击瞄准Microsoft365和Signal用户，利用OAuth令牌窃取数据；开源软件供应链攻击演进至可信命名策略，IBM启动50亿美元Lightwell项目强化安全。

EverestFormsPro插件存在关键漏洞CVE-2026-3300，影响1.9.12及更早版本，攻击者无需认证即可通过注入单引号闭合字符串执行任意PHP代码，正在被活跃利用创建恶意管理员账户。建议用户升级插件版本、屏蔽恶意IP地址202.56.2\\[.\\]126和209.146.60.26、检查管理员账户异常活动。

文档披露NinjaFormsFileUploads插件≤3.3.26版本存在无限制文件上传漏洞(CVE-2026-0740)，攻击者通过构造目标文件名可绕过后缀检查上传Webshell，导致未认证远程代码执行。CVSS评分9.8，影响5-6万站点，已有公开PoC和在野攻击。建议用户立即升级至3.3.27版本并监控可疑上传行为。