ZONE.CI 全球网

本文复现了WordPress两个远程命令执行漏洞CVE-2026-63030和CVE-2026-60137，影响多个版本。攻击者可通过未授权SQL注入获取管理员密码哈希，进而实现代码执行。文章提供了测绘语法、检测POC及修复建议，但文末包含付费圈子推广，需注意合规使用。

WordPressRESTAPI存在两个高危漏洞组合利用(CVE-2026-63030和CVE-2026-60137)，攻击者无需认证即可通过路由混淆绕过权限检查，结合SQL注入提取用户密码哈希，进而登录高权限账户实现远程代码执行，完全控制服务器。影响WordPress6.8.0至7.0.2版本，官方已发布安全更新，建议立即升级至7.0.2或更高版本，并可通过WAF阻断/batch/v1路径作为临时缓解措施。

WordPress核心漏洞wp2shell(CVE-2026-63030和CVE-2026-60137)允许匿名攻击者在默认配置下通过单个HTTP请求实现远程代码执行。攻击链利用RESTAPI路由混淆和SQL注入提取管理员密码哈希，进而获取服务器控制权。影响WordPress6.9.0至7.0.1版本，PoC已公开。最优先的修复措施是立即升级至6.9.5或7.0.2及以上版本，临时缓解措施包括WAF拦截和禁用RESTAPI。

RestrictMate1.3.0之前版本存在严重漏洞，允许匿名用户通过注册表单直接创建管理员账户，导致站点完全控制权丧失。漏洞源于服务端未验证客户端提交的角色字段。建议立即关闭公开注册、升级插件、检查异常管理员账号并重置凭据。普通用户应警惕非本人发起的角色变更，运营人员需加强插件清单与入口管理。

TranslatePress插件存在严重漏洞CVE-2026-19632，CVSS评分9.8，影响3.3.1及以下版本，超过40万个WordPress网站面临账户劫持风险。攻击者可未经认证窃取管理员密码重置链接，从而完全控制网站。该漏洞源于插件翻译邮件内容并公开暴露AJAX接口。目前无在野利用或公开PoC，但建议立即更新至3.3.2版本以修复问题。

miniorangeSAML2.0单点登录WordPress插件存在两个严重漏洞(CVE-2026-61979和CVE-2026-15981),CVSS评分9.8。攻击者可伪造SAML断言以任何用户身份登录,包括管理员。漏洞影响免费及多个商业版本,供应商已发布修复版本但版本号混乱导致扫描器误判。DigitalOcean检测到利用活动,建议立即更新至修复版本。

CVE-2026-6279是WordPressAvadaBuilder插件（≤3.15.2）中的未授权远程代码执行漏洞，攻击者通过fusion_get_widget_markup接口将恶意数据传入call_user\\_func函数执行。影响全球超20万个站点，CVSS评分9.8。建议用户立即升级至3.15.3版本修复漏洞。

CNNVD最新漏洞周报显示WordPress漏洞数量居首，AI工具曝出高危漏洞；商业数据泄露致美军人员信息暴露，五角大楼防护措施滞后；Google工程师滥用搜索数据非法获利，暴露内部威胁风险；新型钓鱼攻击瞄准Microsoft365和Signal用户，利用OAuth令牌窃取数据；开源软件供应链攻击演进至可信命名策略，IBM启动50亿美元Lightwell项目强化安全。

EverestFormsPro插件存在关键漏洞CVE-2026-3300，影响1.9.12及更早版本，攻击者无需认证即可通过注入单引号闭合字符串执行任意PHP代码，正在被活跃利用创建恶意管理员账户。建议用户升级插件版本、屏蔽恶意IP地址202.56.2\\[.\\]126和209.146.60.26、检查管理员账户异常活动。

文档披露NinjaFormsFileUploads插件≤3.3.26版本存在无限制文件上传漏洞(CVE-2026-0740)，攻击者通过构造目标文件名可绕过后缀检查上传Webshell，导致未认证远程代码执行。CVSS评分9.8，影响5-6万站点，已有公开PoC和在野攻击。建议用户立即升级至3.3.27版本并监控可疑上传行为。

AvadaBuilderWordPress插件（最高3.15.3版）存在严重漏洞CVE-2026-8713（CVSS9.1），源于fusion_form_db_entries类的maybe_delete\\_files()函数路径验证不足，允许未经身份验证攻击者通过提交特制表单数据删除服务器任意文件，可能导致包括wp-config.php在内的关键文件被删，进而使网站被完全接管。该漏洞影响超百万站点，已在3.15.4版修复。

安全研究人员发现针对WordPress插件OptinMonster等的大规模供应链攻击，攻击者通过入侵CDN注入恶意脚本，当管理员登录时激活恶意载荷以收集凭证、创建后门并建立持久控制，建议受影响站点审核管理员账户、扫描隐藏插件并轮换凭据。

2026年6月，荷兰、加拿大、美国、德国执法机构在欧洲刑警组织协调下开展`终局行动`，成功打击Socgholish恶意程序分发网络，关停106台服务器与恶意域名，并修复14971个遭入侵的WordPress站点。该恶意软件由TA569团伙运营，通过攻陷正规网站植入仿冒浏览器更新弹窗，最终可投放LockBit等勒索软件。行动方建议WordPress管理员启用多因素认证、限制后台访问、更新程序并重置泄露凭证。

AvadaBuilder插件存在严重未授权任意文件删除漏洞CVE-2026-8713，CVSS评分9.1。攻击者无需认证即可删除服务器文件，通过删除wp-config.php可完全控制网站。约百万WordPress站点受影响，需立即升级至3.15.4版本修复。

黑客正积极利用WordPress插件EverestFormsPro1.9.12及更早版本中的严重漏洞CVE-2026-3300，该漏洞存在于复杂计算功能中，因sanitize_text_field()函数未转义单引号，攻击者无需认证即可通过注入PHP代码执行任意命令，目前已观测到利用该漏洞创建非法管理员账户diksimarina的攻击活动，建议管理员检查日志与账户并升级至修复版本。

WordPress表单插件EverestFormsPro存在严重RCE漏洞CVE-2026-3300，攻击者无需认证即可通过eval()函数执行任意PHP代码，已在全球范围内被利用创建管理员账号并植入后门。受影响版本为Pro版≤1.9.12，建议立即升级至1.9.13以上版本，检查用户列表清除可疑账号，并加强防火墙配置与定期安全扫描。

一项分析显示超过70%的公共WordPress网站运行过时的PHP版本如PHP7.4已停止维护，导致严重安全漏洞。Censys研究316500个部署发现仅30%使用受支持版本。WordPress核心更新较频繁但底层PHP被忽视，攻击者利用未修补漏洞大规模入侵。建议组织及时升级PHP并注意插件更新以降低风险。

WordPress插件漏洞正被大规模武器化，攻击者利用未授权文件上传、RCE、SSRF及反序列化漏洞部署webshell，获取持久化远程访问权限。全球组织已受影响，应急响应需默认系统已遭入侵，立即隔离服务器、审查日志并清除恶意代码。建议立即应用供应商补丁，禁用或移除受影响插件，并强化Web服务器安全配置。

澳大利亚网络安全中心(ACSC)发布严重预警，指出全球攻击活动正利用CMS与插件的已知漏洞进行大规模扫描，影响WordPress、CraftCMS等17类产品。核心结论是网站被挂马通常非CMS品牌问题，而是已知漏洞未修补、弃用组件未清理及文件变化未监控。关键发现是补丁可用但许多站点未更新。可操作建议包括建立资产清单、立即更新、删除弃用插件、检查文件变化、网络隔离、启用MFA及验证备份。

WordPressRESTAPI存在严重漏洞CVE-2026-63030，允许未认证攻击者通过批处理路由混淆与SQL注入实现远程代码执行，CVSS评分9.8。影响版本6.9.0-6.9.4和7.0.0-7.0.1。官方已发布7.0.2和6.9.5修复版本，建议立即升级。临时缓解方案为阻断匿名访问RESTBatchAPI路径。安恒信息已复现该漏洞。