ZONE.CI 全球网

WordPress核心框架wp2shell漏洞通过组合CVE-2026-63030和CVE-2026-63137实现SQL注入，利用RESTBatch索引错位将categories请求错误路由到postshandler，导致author_exclude参数未清洗直接拼接SQL。虽仅读权限，但通过Customizerchangeset和权限切换可新建管理员账户并上传恶意插件实现RCE。修复版本7.0.2补全了matches数组并统一使用wp_parse_id_list清洗输入。建议立即升级。

本文披露WordPress核心无认证RCE漏洞wp2shell，由RESTAPI批量路由混淆与WP\\_QuerySQL注入串联触发。攻击者无需账号在默认配置下即可执行任意命令，影响6.9.0-6.9.4及7.0.0-7.0.1版本。POC已公开，风险极高。建议立即通过后台或WP-CLI升级至安全版本；暂无法升级者可临时禁用未登录RESTAPI、用WAF拦截批量端点或部署鉴权插件缓解。

WordPress7.0.0-7.0.1及6.9.0-6.9.4版本存在严重RCE漏洞链wp2shell，由CVE-2026-63030（RESTAPI路由混淆，CVSS9.8）与CVE-2026-60137（SQL注入，CVSS5.9）串联组成，无需认证即可在默认配置下实现远程代码执行。已有野外利用报告和公开PoC。建议立即升级至7.0.2/6.9.5/6.8.6等修复版本，并检查日志和数据库IOC确认是否已被利用。

WordPress核心代码曝出高危RCE漏洞wp2shell，允许未经身份验证的攻击者完全控制网站，影响全球超5亿站点。漏洞源于RESTAPI批处理路由的逻辑混淆，可导致SQL注入并升级为远程代码执行。官方已强制推送自动更新补丁至7.0.2、6.9.5和6.8.6版本。无法立即升级的站点应使用WAF封锁/batch/v1路径或禁用匿名RESTAPI访问。

WordPress核心漏洞wp2shell(CVE-2026-63030)允许匿名远程代码执行，影响6.9.0至7.0.1版本。官方已发布7.0.2等修复版本并启用强制自动更新。建议管理员立即更新，临时可阻止RESTAPI匿名访问或封锁相关路径。利用扫描器可验证补丁状态。

WordPressCore存在严重wp2shell远程代码执行漏洞，由CVE-2026-63030和CVE-2026-60137两个漏洞串联组成，影响6.9.x和7.0.x版本。PoC利用代码已公开，已有野外利用迹象。管理员必须立即更新至WordPress7.0.2或6.9.5。临时缓解措施包括阻止匿名访问RESTAPI或使用WAF防护。

本文预警WordPressCore未授权远程代码执行漏洞CVE-2026-60137。该漏洞因RESTAPI批处理端点路由混淆所致，攻击者无需认证即可通过SQL注入创建管理员并上传webshell。建议尽快升级至安全版本，无法升级时需通过WAF拦截批处理接口并强制认证，同时排查异常账号与日志。

该漏洞为WordPressRESTAPI批处理端点中的路由混淆漏洞(CVE-2026-63030),配合WP\\_QuerySQL注入(CVE-2026-60137)可形成预认证远程代码执行利用链。影响WordPress6.9.x及7.0.x系列版本,CVSS评分9.8,已有PoC公开。建议受影响用户立即升级至6.9.5、7.0.2或7.1Beta2及以上版本。

天融信发布关于WordPressCore预认证远程代码执行漏洞链wp2shell的风险提示。该漏洞链由CVE-2026-63030（RESTAPI路由混淆）和CVE-2026-60137（WP\\_QuerySQL注入）组合而成，攻击者无需认证即可远程执行代码，影响WordPress6.9.0至6.9.4及7.0.0至7.0.1版本。建议受影响用户立即升级至6.9.5、7.0.2或6.8.6版本，或通过WAF对RESTAPI批处理接口进行临时限制。

绿盟科技CERT发布WordPress远程代码执行漏洞通告(CVE-2026-63030和CVE-2026-60137),CVSS评分9.8,漏洞细节与PoC已公开且存在在野利用。攻击者可绕过RESTAPI认证,通过SQL注入获取管理员密码哈希并植入WebShell实现远程代码执行。受影响版本包括WordPress7.0.0至7.0.2、6.9.0至6.9.5及6.8.0至6.8.6。建议用户立即升级至最新版本或采取安装DisableWPRESTAPI插件、拦截相关端点等临时缓解措施。

新公开的wp2shell漏洞利用两个WordPress核心漏洞CVE-2026-63030和CVE-2026-60137，可链式实现未授权远程代码执行，影响6.9.x和7.0.x版本。WordPress已发布7.0.2和6.9.5修复版本并启用强制自动更新。建议站点所有者立即更新，或临时配置WAF规则阻止对RESTAPI批处理端点的匿名访问。

WordPressCore存在严重预认证远程代码执行漏洞wp2shell，影响超5亿站点。漏洞源于RESTAPI批处理路由混淆导致SQL注入和RCE，无需认证即可利用。官方已发布补丁并通过自动更新强制推送，建议管理员立即更新或采取临时缓解措施如屏蔽相关端点。

本周安全热点聚焦多个高危漏洞，包括RedisBloom堆溢出、Redis认证远程代码执行、NGINX堆缓冲区溢出及Fastjson远程代码执行等漏洞，PoC均已公开。特别值得关注的是WordPressRESTAPI批处理路由混淆与SQL注入组合利用漏洞（WP2Shell攻击链），无需认证即可实现远程代码执行，影响数百万网站。此外，MicrosoftSharePoint、CheckPointSmartConsole及Langflow等产品漏洞已发现在野利用。建议用户立即排查并更新相关组件，检查系统是否被植入

WordPress插件UncannyAutomator<=7.3.2存在SQL注入漏洞(CVE-2026-65462),源于sanitize_text_field()未转义SQL通配符导致LIKE注入,PoC可探测数据库长度,建议用户立即更新插件至最新版本以修复漏洞。

WordPressCodingStandards工具爆出CVE-2026-45293任意代码执行漏洞，CVSS评分8.6，影响超4900万次安装。该漏洞源于检查脚本版本参数的规则误用eval函数，攻击者可通过恶意构造的PullRequest在CI流水线的代码检查阶段触发漏洞。值得注意的是，该漏洞不影响运行中的WordPress网站，仅威胁扫描不受信任代码的开发环境和CI系统。建议用户立即升级至3.4.1或更高版本，若无法升级可临时排除相关检测规则以规避风险，目前暂无在野利用报告。

WordPressCore曝出高危预认证XSS漏洞CVE-2026-64638，CVSS8.9分。攻击者无需登录，通过构造恶意用户名在wp-login.php触发DOM注入，诱导管理员访问后可结合DOMClobbering窃取API凭据，最终实现远程代码执行。该漏洞影响7.0.2及以下版本，建议立即升级至7.0.3及以上版本进行修复。

WordPressCore存在预认证XSS远程代码执行漏洞(CVE-2026-64638)，影响6.4至7.0.2版本，CVSS评分9.8。攻击者无需认证即可通过登录失败流程注入DOM，结合SOME技术窃取管理员ApplicationPassword，最终上传恶意插件实现RCE。官方已发布7.0.3版本修复，建议立即升级或临时禁用ApplicationPassword。

WordPress6.9-7.0.1核心存在两个漏洞组合：CVE-2026-63030路由混淆和CVE-2026-60137SQL注入。攻击者无需登录即可通过batchAPI发送请求，利用数组错位将未净化的字符串传入wp\\_query，导致SQL注入，可读取管理员密码hash等敏感数据。补丁修复了类型检查和数组对齐问题。

WordPressCore在2026年7月修复了两个高危漏洞CVE-2026-60137（SQL注入）和CVE-2026-63030（RESTAPI路由混淆），两者可组合形成攻击链，在特定条件下实现远程代码执行。影响版本包括6.8.x至7.0.x，官方已在6.8.6、6.9.5和7.0.2中修复。建议网站管理员立即更新核心、主题和插件，并加强日志监控与访问控制。

WordPresswp2shell攻击链由CVE-2026-63030和CVE-2026-60137串联构成，影响6.9.0-6.9.4、7.0.0-7.0.1及7.1beta1版本，默认配置下无需认证即可实现远程代码执行。攻击通过RESTAPIbatch/v1路由混淆和WP\\_QuerySQL注入完成，已有野外利用和公开PoC。建议立即升级至6.9.5/7.0.2/7.1beta2，并检查日志和数据库IOC。