ZONE.CI 全球网

WordPress核心存在两个可链接的严重漏洞，允许未认证攻击者远程执行代码。该利用链被称为WP2Shell，结合了RESTAPI路由混淆（CVE-2026-63030）和SQL注入（CVE-2026-60137），影响6.9.0至6.9.4和7.0.0至7.0.1版本。攻击者可通过公开端点逐步入侵服务器，创建管理员账户并部署WebShell。建议用户立即更新至已修复版本6.8.6、6.9.5或7.0.2。

CVE-2026-6279是WordPressAvadaBuilder插件（≤3.15.2）中的未授权远程代码执行漏洞，攻击者通过fusion_get_widget_markup接口将恶意数据传入call_user\\_func函数执行。影响全球超20万个站点，CVSS评分9.8。建议用户立即升级至3.15.3版本修复漏洞。

CNNVD最新漏洞周报显示WordPress漏洞数量居首，AI工具曝出高危漏洞；商业数据泄露致美军人员信息暴露，五角大楼防护措施滞后；Google工程师滥用搜索数据非法获利，暴露内部威胁风险；新型钓鱼攻击瞄准Microsoft365和Signal用户，利用OAuth令牌窃取数据；开源软件供应链攻击演进至可信命名策略，IBM启动50亿美元Lightwell项目强化安全。

EverestFormsPro插件存在关键漏洞CVE-2026-3300，影响1.9.12及更早版本，攻击者无需认证即可通过注入单引号闭合字符串执行任意PHP代码，正在被活跃利用创建恶意管理员账户。建议用户升级插件版本、屏蔽恶意IP地址202.56.2\\[.\\]126和209.146.60.26、检查管理员账户异常活动。

文档披露NinjaFormsFileUploads插件≤3.3.26版本存在无限制文件上传漏洞(CVE-2026-0740)，攻击者通过构造目标文件名可绕过后缀检查上传Webshell，导致未认证远程代码执行。CVSS评分9.8，影响5-6万站点，已有公开PoC和在野攻击。建议用户立即升级至3.3.27版本并监控可疑上传行为。

安全研究人员发现针对WordPress插件OptinMonster等的大规模供应链攻击，攻击者通过入侵CDN注入恶意脚本，当管理员登录时激活恶意载荷以收集凭证、创建后门并建立持久控制，建议受影响站点审核管理员账户、扫描隐藏插件并轮换凭据。

AvadaBuilder插件存在严重未授权任意文件删除漏洞CVE-2026-8713，CVSS评分9.1。攻击者无需认证即可删除服务器文件，通过删除wp-config.php可完全控制网站。约百万WordPress站点受影响，需立即升级至3.15.4版本修复。

黑客正积极利用WordPress插件EverestFormsPro1.9.12及更早版本中的严重漏洞CVE-2026-3300，该漏洞存在于复杂计算功能中，因sanitize_text_field()函数未转义单引号，攻击者无需认证即可通过注入PHP代码执行任意命令，目前已观测到利用该漏洞创建非法管理员账户diksimarina的攻击活动，建议管理员检查日志与账户并升级至修复版本。

WordPress表单插件EverestFormsPro存在严重RCE漏洞CVE-2026-3300，攻击者无需认证即可通过eval()函数执行任意PHP代码，已在全球范围内被利用创建管理员账号并植入后门。受影响版本为Pro版≤1.9.12，建议立即升级至1.9.13以上版本，检查用户列表清除可疑账号，并加强防火墙配置与定期安全扫描。

一项分析显示超过70%的公共WordPress网站运行过时的PHP版本如PHP7.4已停止维护，导致严重安全漏洞。Censys研究316500个部署发现仅30%使用受支持版本。WordPress核心更新较频繁但底层PHP被忽视，攻击者利用未修补漏洞大规模入侵。建议组织及时升级PHP并注意插件更新以降低风险。

WordPress插件漏洞正被大规模武器化，攻击者利用未授权文件上传、RCE、SSRF及反序列化漏洞部署webshell，获取持久化远程访问权限。全球组织已受影响，应急响应需默认系统已遭入侵，立即隔离服务器、审查日志并清除恶意代码。建议立即应用供应商补丁，禁用或移除受影响插件，并强化Web服务器安全配置。

澳大利亚网络安全中心(ACSC)发布严重预警，指出全球攻击活动正利用CMS与插件的已知漏洞进行大规模扫描，影响WordPress、CraftCMS等17类产品。核心结论是网站被挂马通常非CMS品牌问题，而是已知漏洞未修补、弃用组件未清理及文件变化未监控。关键发现是补丁可用但许多站点未更新。可操作建议包括建立资产清单、立即更新、删除弃用插件、检查文件变化、网络隔离、启用MFA及验证备份。

WordPressRESTAPI存在严重漏洞CVE-2026-63030，允许未认证攻击者通过批处理路由混淆与SQL注入实现远程代码执行，CVSS评分9.8。影响版本6.9.0-6.9.4和7.0.0-7.0.1。官方已发布7.0.2和6.9.5修复版本，建议立即升级。临时缓解方案为阻断匿名访问RESTBatchAPI路径。安恒信息已复现该漏洞。

WordPress核心漏洞wp2shell允许远程代码执行，影响6.9和7.0版本，全球数百万网站面临风险。官方已发布6.9.5和7.0.2补丁并启动强制更新。建议站长立即更新版本并检查服务器日志，启用WAF作为额外防护。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。

奇安信CERT披露WordPressRESTAPI批处理路由混淆与SQL注入组合漏洞CVE-2026-63030，无需认证即可远程代码执行，影响WordPress6.8至7.1版本，PoC已公开，建议升级至最新版本或禁用未认证RESTAPI访问。

WordPress核心漏洞CVE-2026-63030和CVE-2026-60137组合可实现预认证远程代码执行。攻击链利用RESTAPI路由混淆和SQL注入，无需凭据即可创建管理员并上传webshell。影响6.9.0-6.9.4和7.0.0-7.0.1版本。建议立即升级至6.9.5或7.0.2，并临时拦截batch/v1端点。

WordPress6.8.0至7.0.1版本存在组合漏洞(CVE-2026-63030和CVE-2026-60137)，攻击者可通过未授权访问RESTAPI的批量请求端点实现SQL注入，获取管理员密码哈希后利用插件安装功能执行任意代码。文章提供了漏洞复现步骤、POC链接及修复建议，包括升级至7.0.2版本、安装安全插件或通过WAF阻断相关请求路径。

WordPress6.8.3版本存在高危SQL注入漏洞，攻击者可通过batch/v1路由利用author\\_exclude参数进行时间盲注，最终实现远程代码执行并完全接管网站管理员权限。漏洞利用链涉及oEmbed和changeset等机制。建议立即升级WordPress或应用修补意见，包括对相关路由实施参数白名单、使用参数化接口修复SQL注入点、隔离关键副作用并加强认证与提权控制。

本文详析WordPress核心WP2Shell组合高危漏洞，攻击者无需授权即可通过路由混淆绕过鉴权，结合SQL注入时间盲注脱库获取管理员哈希，最终实现远程代码执行。建议立即升级至6.8.6、6.9.5或7.0.2及以上版本彻底修复；暂无法升级时需通过WAF或Nginx拦截批量请求接口路径，开启持久化对象缓存，并排查恶意插件与后门文件。