ZONE.CI 全球网

WordPress核心漏洞wp2shell允许远程代码执行，影响6.9和7.0版本，全球数百万网站面临风险。官方已发布6.9.5和7.0.2补丁并启动强制更新。建议站长立即更新版本并检查服务器日志，启用WAF作为额外防护。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。

奇安信CERT披露WordPressRESTAPI批处理路由混淆与SQL注入组合漏洞CVE-2026-63030，无需认证即可远程代码执行，影响WordPress6.8至7.1版本，PoC已公开，建议升级至最新版本或禁用未认证RESTAPI访问。

WordPress核心漏洞CVE-2026-63030和CVE-2026-60137组合可实现预认证远程代码执行。攻击链利用RESTAPI路由混淆和SQL注入，无需凭据即可创建管理员并上传webshell。影响6.9.0-6.9.4和7.0.0-7.0.1版本。建议立即升级至6.9.5或7.0.2，并临时拦截batch/v1端点。

WordPress6.8.0至7.0.1版本存在组合漏洞(CVE-2026-63030和CVE-2026-60137)，攻击者可通过未授权访问RESTAPI的批量请求端点实现SQL注入，获取管理员密码哈希后利用插件安装功能执行任意代码。文章提供了漏洞复现步骤、POC链接及修复建议，包括升级至7.0.2版本、安装安全插件或通过WAF阻断相关请求路径。

WordPress6.8.3版本存在高危SQL注入漏洞，攻击者可通过batch/v1路由利用author\\_exclude参数进行时间盲注，最终实现远程代码执行并完全接管网站管理员权限。漏洞利用链涉及oEmbed和changeset等机制。建议立即升级WordPress或应用修补意见，包括对相关路由实施参数白名单、使用参数化接口修复SQL注入点、隔离关键副作用并加强认证与提权控制。

本文详析WordPress核心WP2Shell组合高危漏洞，攻击者无需授权即可通过路由混淆绕过鉴权，结合SQL注入时间盲注脱库获取管理员哈希，最终实现远程代码执行。建议立即升级至6.8.6、6.9.5或7.0.2及以上版本彻底修复；暂无法升级时需通过WAF或Nginx拦截批量请求接口路径，开启持久化对象缓存，并排查恶意插件与后门文件。

WordPress核心框架wp2shell漏洞通过组合CVE-2026-63030和CVE-2026-63137实现SQL注入，利用RESTBatch索引错位将categories请求错误路由到postshandler，导致author_exclude参数未清洗直接拼接SQL。虽仅读权限，但通过Customizerchangeset和权限切换可新建管理员账户并上传恶意插件实现RCE。修复版本7.0.2补全了matches数组并统一使用wp_parse_id_list清洗输入。建议立即升级。

WordPress7.0.0-7.0.1及6.9.0-6.9.4版本存在严重RCE漏洞链wp2shell，由CVE-2026-63030（RESTAPI路由混淆，CVSS9.8）与CVE-2026-60137（SQL注入，CVSS5.9）串联组成，无需认证即可在默认配置下实现远程代码执行。已有野外利用报告和公开PoC。建议立即升级至7.0.2/6.9.5/6.8.6等修复版本，并检查日志和数据库IOC确认是否已被利用。

本文披露WordPress核心无认证RCE漏洞wp2shell，由RESTAPI批量路由混淆与WP\\_QuerySQL注入串联触发。攻击者无需账号在默认配置下即可执行任意命令，影响6.9.0-6.9.4及7.0.0-7.0.1版本。POC已公开，风险极高。建议立即通过后台或WP-CLI升级至安全版本；暂无法升级者可临时禁用未登录RESTAPI、用WAF拦截批量端点或部署鉴权插件缓解。

WordPress核心代码曝出高危RCE漏洞wp2shell，允许未经身份验证的攻击者完全控制网站，影响全球超5亿站点。漏洞源于RESTAPI批处理路由的逻辑混淆，可导致SQL注入并升级为远程代码执行。官方已强制推送自动更新补丁至7.0.2、6.9.5和6.8.6版本。无法立即升级的站点应使用WAF封锁/batch/v1路径或禁用匿名RESTAPI访问。

WordPress核心漏洞wp2shell(CVE-2026-63030)允许匿名远程代码执行，影响6.9.0至7.0.1版本。官方已发布7.0.2等修复版本并启用强制自动更新。建议管理员立即更新，临时可阻止RESTAPI匿名访问或封锁相关路径。利用扫描器可验证补丁状态。

WordPressCore存在严重wp2shell远程代码执行漏洞，由CVE-2026-63030和CVE-2026-60137两个漏洞串联组成，影响6.9.x和7.0.x版本。PoC利用代码已公开，已有野外利用迹象。管理员必须立即更新至WordPress7.0.2或6.9.5。临时缓解措施包括阻止匿名访问RESTAPI或使用WAF防护。

本文预警WordPressCore未授权远程代码执行漏洞CVE-2026-60137。该漏洞因RESTAPI批处理端点路由混淆所致，攻击者无需认证即可通过SQL注入创建管理员并上传webshell。建议尽快升级至安全版本，无法升级时需通过WAF拦截批处理接口并强制认证，同时排查异常账号与日志。

该漏洞为WordPressRESTAPI批处理端点中的路由混淆漏洞(CVE-2026-63030),配合WP\\_QuerySQL注入(CVE-2026-60137)可形成预认证远程代码执行利用链。影响WordPress6.9.x及7.0.x系列版本,CVSS评分9.8,已有PoC公开。建议受影响用户立即升级至6.9.5、7.0.2或7.1Beta2及以上版本。

天融信发布关于WordPressCore预认证远程代码执行漏洞链wp2shell的风险提示。该漏洞链由CVE-2026-63030（RESTAPI路由混淆）和CVE-2026-60137（WP\\_QuerySQL注入）组合而成，攻击者无需认证即可远程执行代码，影响WordPress6.9.0至6.9.4及7.0.0至7.0.1版本。建议受影响用户立即升级至6.9.5、7.0.2或6.8.6版本，或通过WAF对RESTAPI批处理接口进行临时限制。

绿盟科技CERT发布WordPress远程代码执行漏洞通告(CVE-2026-63030和CVE-2026-60137),CVSS评分9.8,漏洞细节与PoC已公开且存在在野利用。攻击者可绕过RESTAPI认证,通过SQL注入获取管理员密码哈希并植入WebShell实现远程代码执行。受影响版本包括WordPress7.0.0至7.0.2、6.9.0至6.9.5及6.8.0至6.8.6。建议用户立即升级至最新版本或采取安装DisableWPRESTAPI插件、拦截相关端点等临时缓解措施。

新公开的wp2shell漏洞利用两个WordPress核心漏洞CVE-2026-63030和CVE-2026-60137，可链式实现未授权远程代码执行，影响6.9.x和7.0.x版本。WordPress已发布7.0.2和6.9.5修复版本并启用强制自动更新。建议站点所有者立即更新，或临时配置WAF规则阻止对RESTAPI批处理端点的匿名访问。

WordPressCore存在严重预认证远程代码执行漏洞wp2shell，影响超5亿站点。漏洞源于RESTAPI批处理路由混淆导致SQL注入和RCE，无需认证即可利用。官方已发布补丁并通过自动更新强制推送，建议管理员立即更新或采取临时缓解措施如屏蔽相关端点。

本周安全热点聚焦多个高危漏洞，包括RedisBloom堆溢出、Redis认证远程代码执行、NGINX堆缓冲区溢出及Fastjson远程代码执行等漏洞，PoC均已公开。特别值得关注的是WordPressRESTAPI批处理路由混淆与SQL注入组合利用漏洞（WP2Shell攻击链），无需认证即可实现远程代码执行，影响数百万网站。此外，MicrosoftSharePoint、CheckPointSmartConsole及Langflow等产品漏洞已发现在野利用。建议用户立即排查并更新相关组件，检查系统是否被植入