ZONE.CI 全球网

WordPress核心存在两处可组合利用的高危漏洞，攻击者无需身份认证即可实现远程代码执行。漏洞链名为wp2shell，结合RESTAPI路由混淆漏洞与SQL注入漏洞，影响6.9.0至6.9.4及7.0.0至7.0.1版本。修复版本为6.8.6、6.9.5、7.0.2，建议立即升级并排查异常管理员账号与可疑插件。

WordPress核心存在两个可链接的严重漏洞，允许未认证攻击者远程执行代码。该利用链被称为WP2Shell，结合了RESTAPI路由混淆（CVE-2026-63030）和SQL注入（CVE-2026-60137），影响6.9.0至6.9.4和7.0.0至7.0.1版本。攻击者可通过公开端点逐步入侵服务器，创建管理员账户并部署WebShell。建议用户立即更新至已修复版本6.8.6、6.9.5或7.0.2。

fagent是一款专为AI设计的C2框架，通过RESTAPI将内网渗透能力封装成HTTP接口，支持AI直接调用执行命令、文件操作、端口扫描等27种任务。采用AES-256-GCM加密和CDN图片伪装流量，具备跨平台Agent与Web管理界面。目前仅限学员内测，声称可绕过主流杀软检测。

WordPressRESTAPI存在严重漏洞CVE-2026-63030，允许未认证攻击者通过批处理路由混淆与SQL注入实现远程代码执行，CVSS评分9.8。影响版本6.9.0-6.9.4和7.0.0-7.0.1。官方已发布7.0.2和6.9.5修复版本，建议立即升级。临时缓解方案为阻断匿名访问RESTBatchAPI路径。安恒信息已复现该漏洞。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。

奇安信CERT披露WordPressRESTAPI批处理路由混淆与SQL注入组合漏洞CVE-2026-63030，无需认证即可远程代码执行，影响WordPress6.8至7.1版本，PoC已公开，建议升级至最新版本或禁用未认证RESTAPI访问。

WordPress6.8.0至7.0.1版本存在组合漏洞(CVE-2026-63030和CVE-2026-60137)，攻击者可通过未授权访问RESTAPI的批量请求端点实现SQL注入，获取管理员密码哈希后利用插件安装功能执行任意代码。文章提供了漏洞复现步骤、POC链接及修复建议，包括升级至7.0.2版本、安装安全插件或通过WAF阻断相关请求路径。

本文披露WordPress核心无认证RCE漏洞wp2shell，由RESTAPI批量路由混淆与WP\\_QuerySQL注入串联触发。攻击者无需账号在默认配置下即可执行任意命令，影响6.9.0-6.9.4及7.0.0-7.0.1版本。POC已公开，风险极高。建议立即通过后台或WP-CLI升级至安全版本；暂无法升级者可临时禁用未登录RESTAPI、用WAF拦截批量端点或部署鉴权插件缓解。

WordPressCore存在严重wp2shell远程代码执行漏洞，由CVE-2026-63030和CVE-2026-60137两个漏洞串联组成，影响6.9.x和7.0.x版本。PoC利用代码已公开，已有野外利用迹象。管理员必须立即更新至WordPress7.0.2或6.9.5。临时缓解措施包括阻止匿名访问RESTAPI或使用WAF防护。

该漏洞为WordPressRESTAPI批处理端点中的路由混淆漏洞(CVE-2026-63030),配合WP\\_QuerySQL注入(CVE-2026-60137)可形成预认证远程代码执行利用链。影响WordPress6.9.x及7.0.x系列版本,CVSS评分9.8,已有PoC公开。建议受影响用户立即升级至6.9.5、7.0.2或7.1Beta2及以上版本。

天融信发布关于WordPressCore预认证远程代码执行漏洞链wp2shell的风险提示。该漏洞链由CVE-2026-63030（RESTAPI路由混淆）和CVE-2026-60137（WP\\_QuerySQL注入）组合而成，攻击者无需认证即可远程执行代码，影响WordPress6.9.0至6.9.4及7.0.0至7.0.1版本。建议受影响用户立即升级至6.9.5、7.0.2或6.8.6版本，或通过WAF对RESTAPI批处理接口进行临时限制。

绿盟科技CERT发布WordPress远程代码执行漏洞通告(CVE-2026-63030和CVE-2026-60137),CVSS评分9.8,漏洞细节与PoC已公开且存在在野利用。攻击者可绕过RESTAPI认证,通过SQL注入获取管理员密码哈希并植入WebShell实现远程代码执行。受影响版本包括WordPress7.0.0至7.0.2、6.9.0至6.9.5及6.8.0至6.8.6。建议用户立即升级至最新版本或采取安装DisableWPRESTAPI插件、拦截相关端点等临时缓解措施。

WordPressCore存在严重预认证远程代码执行漏洞wp2shell，影响超5亿站点。漏洞源于RESTAPI批处理路由混淆导致SQL注入和RCE，无需认证即可利用。官方已发布补丁并通过自动更新强制推送，建议管理员立即更新或采取临时缓解措施如屏蔽相关端点。

本文复现了WordPress两个高危漏洞CVE-2026-60137和CVE-2026-63030的组合利用链。前者为SQL注入漏洞，存在于WP_Query的author\\_\\_not_in参数处理中；后者为RESTAPI批量请求路由混淆漏洞。组合后可实现从SQL注入到远程代码执行。影响WordPress6.8.x至7.0.x版本。文章提供了Docker靶场搭建、PoC使用及修复建议，包括升级版本和限制BatchAPI。

WordPressRESTAPI存在两个高危漏洞组合利用(CVE-2026-63030和CVE-2026-60137)，攻击者无需认证即可通过路由混淆绕过权限检查，结合SQL注入提取用户密码哈希，进而登录高权限账户实现远程代码执行，完全控制服务器。影响WordPress6.8.0至7.0.2版本，官方已发布安全更新，建议立即升级至7.0.2或更高版本，并可通过WAF阻断/batch/v1路径作为临时缓解措施。

WordPress核心存在两处可组合利用的高危漏洞，攻击者无需身份认证即可实现远程代码执行。漏洞链名为wp2shell，结合RESTAPI路由混淆漏洞与SQL注入漏洞，影响6.9.0至6.9.4及7.0.0至7.0.1版本。修复版本为6.8.6、6.9.5、7.0.2，建议立即升级并排查异常管理员账号与可疑插件。

WordPress核心存在两个可链接的严重漏洞，允许未认证攻击者远程执行代码。该利用链被称为WP2Shell，结合了RESTAPI路由混淆（CVE-2026-63030）和SQL注入（CVE-2026-60137），影响6.9.0至6.9.4和7.0.0至7.0.1版本。攻击者可通过公开端点逐步入侵服务器，创建管理员账户并部署WebShell。建议用户立即更新至已修复版本6.8.6、6.9.5或7.0.2。

fagent是一款专为AI设计的C2框架，通过RESTAPI将内网渗透能力封装成HTTP接口，支持AI直接调用执行命令、文件操作、端口扫描等27种任务。采用AES-256-GCM加密和CDN图片伪装流量，具备跨平台Agent与Web管理界面。目前仅限学员内测，声称可绕过主流杀软检测。

WordPressRESTAPI存在严重漏洞CVE-2026-63030，允许未认证攻击者通过批处理路由混淆与SQL注入实现远程代码执行，CVSS评分9.8。影响版本6.9.0-6.9.4和7.0.0-7.0.1。官方已发布7.0.2和6.9.5修复版本，建议立即升级。临时缓解方案为阻断匿名访问RESTBatchAPI路径。安恒信息已复现该漏洞。

WordPress曝出RESTAPI路由混淆(CVE-2026-63030)与SQL注入(CVE-2026-60137)漏洞链，攻击者无需认证即可通过未授权SQL注入获取管理员密码哈希，进而破解密码并利用插件安装功能实现远程代码执行。影响WordPress7.0.0-7.0.2、6.9.0-6.9.5及6.8.0-6.8.6版本。官方已发布安全版本，建议用户立即升级至7.0.2、6.9.5或6.8.6及以上版本。360产品已支持检测。

奇安信CERT披露WordPressRESTAPI批处理路由混淆与SQL注入组合漏洞CVE-2026-63030，无需认证即可远程代码执行，影响WordPress6.8至7.1版本，PoC已公开，建议升级至最新版本或禁用未认证RESTAPI访问。

WordPress6.8.0至7.0.1版本存在组合漏洞(CVE-2026-63030和CVE-2026-60137)，攻击者可通过未授权访问RESTAPI的批量请求端点实现SQL注入，获取管理员密码哈希后利用插件安装功能执行任意代码。文章提供了漏洞复现步骤、POC链接及修复建议，包括升级至7.0.2版本、安装安全插件或通过WAF阻断相关请求路径。

本文披露WordPress核心无认证RCE漏洞wp2shell，由RESTAPI批量路由混淆与WP\\_QuerySQL注入串联触发。攻击者无需账号在默认配置下即可执行任意命令，影响6.9.0-6.9.4及7.0.0-7.0.1版本。POC已公开，风险极高。建议立即通过后台或WP-CLI升级至安全版本；暂无法升级者可临时禁用未登录RESTAPI、用WAF拦截批量端点或部署鉴权插件缓解。

WordPressCore存在严重wp2shell远程代码执行漏洞，由CVE-2026-63030和CVE-2026-60137两个漏洞串联组成，影响6.9.x和7.0.x版本。PoC利用代码已公开，已有野外利用迹象。管理员必须立即更新至WordPress7.0.2或6.9.5。临时缓解措施包括阻止匿名访问RESTAPI或使用WAF防护。

该漏洞为WordPressRESTAPI批处理端点中的路由混淆漏洞(CVE-2026-63030),配合WP\\_QuerySQL注入(CVE-2026-60137)可形成预认证远程代码执行利用链。影响WordPress6.9.x及7.0.x系列版本,CVSS评分9.8,已有PoC公开。建议受影响用户立即升级至6.9.5、7.0.2或7.1Beta2及以上版本。