文章总结： 绿盟科技CERT发布WordPress远程代码执行漏洞通告(CVE-2026-63030和CVE-2026-60137),CVSS评分9.8,漏洞细节与PoC已公开且存在在野利用。攻击者可绕过RESTAPI认证,通过SQL注入获取管理员密码哈希并植入WebShell实现远程代码执行。受影响版本包括WordPress7.0.0至7.0.2、6.9.0至6.9.5及6.8.0至6.8.6。建议用户立即升级至最新版本或采取安装DisableWPRESTAPI插件、拦截相关端点等临时缓解措施。 综合评分： 90 文章分类： 漏洞预警,漏洞分析,安全运营

【漏洞通告】WordPress远程代码执行漏洞（CVE-2026-63030&CVE-2026-60137）

原创

NS-CERT NS-CERT

绿盟科技CERT

2026年7月20日 14:51 四川

在小说阅读器读本章

去阅读

通告编号 NS-2026-0018

2026-07-20

| | | | — | — | | TAG： | WordPress、CVE-2026-63030、CVE-2026-60137 | | 漏洞危害： | 攻击者利用此漏洞，可实现远程代码执行。 | | 版本： | 1.0 |

1

漏洞概述

近日，绿盟科技CERT监测到WordPress发布安全公告，修复了WordPress远程代码执行漏洞（CVE-2026-63030/CVE-2026-60137），被称为wp2shell；未经身份验证的攻击者可通过REST API批处理请求绕过认证，利用SQL注入获取管理员密码哈希，并利用插件安装功能植入WebShell，从而实现远程代码执行。CVSS评分9.8，目前漏洞细节与PoC已公开，且发现在野利用，请相关用户尽快采取措施进行防护。

CVE-2026-63030：由于REST API Batch接口处理多个子请求时存在批量路由混淆，导致攻击者能够绕过部分白名单请求限制，将特制的请求分发到错误处理逻辑。

CVE-2026-60137：由于WP_Query的author__not_in参数在类型检查上存在缺陷，攻击者可进行布尔型或时间型SQL 注入，从而读取数据库中的敏感信息。

WordPress是一款广泛使用的开源内容管理系统，基于PHP和MySQL构建，用于创建和管理网站、博客及各类Web应用程序，其核心组件WP_Query是用于执行数据库查询的核心类，广泛应用于文章、页面及自定义内容的检索与展示。

参考链接：

https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q

https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf

SEE MORE →

2影响范围

受影响版本

• 7.0.0 <= WordPress < 7.0.2

• 6.9.0 <= WordPress < 6.9.5

• 6.8.0 <= WordPress < 6.8.6（仅影响CVE-2026-60137）

不受影响版本

• WordPress >= 7.0.2

• WordPress >= 6.9.5

• WordPress >= 6.8.6

3漏洞检测

版本检测

相关用户可通过下列命令判断当前使用的WordPress版本是否存在安全风险：

| | | — | | wp core version |

4漏洞防护

官方升级

目前官方已发布新版本修复了该漏洞，请受影响的用户尽快升级版本进行防护，下载链接：https://wordpress.org/download

注：WordPress已通过强制自动更新机制向受影响版本推送安全更新；相关用户也可使用WordPress后台：仪表盘 → 更新 → 立即更新。

其他防护措施

若相关用户暂时无法进行升级操作，也可使用下列措施进行临时缓解：

1、安装“Disable WP REST API”插件，阻止匿名用户访问WordPress REST Batch API

2、在不影响业务的情况下，使用安全设备拦截/wp-json/batch/v1和?rest_route=/batch/v1

3、部署自定义插件强制要求REST batch请求必须经过身份验证，通过中间件配置拦截针对REST API batch端点的请求

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

绿盟科技CERT∣微信公众号

长按识别二维码，关注网络安全威胁信息

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：绿盟科技CERT NS-CERT NS-CERT《【漏洞通告】WordPress远程代码执行漏洞（CVE-2026-63030&CVE-2026-60137）》