wp2shell RCE 严重漏洞获紧急补丁，影响数亿WordPress 站点

Guru Baran
Guru Baran

代码卫士

2026年7月20日 16:32
北京

在小说阅读器读本章

去阅读

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

WordPress Core中存在一个严重的预认证远程代码执行(RCE)漏洞“wp2shell”，导致逾5亿站点易遭未认证攻击者完全接管。

该漏洞源自一个 REST API批处理路由混淆问题，可导致SQL注入并最终实现远程代码执行。该漏洞尤其危险的原因在于，利用该漏洞无需任何前提条件，完全匿名的未认证用户即可针对未安装任何插件的默认 WordPress 安装进行利用。

漏洞严重

在实际攻击场景中，攻击者不需要登录凭据、存在漏洞的插件或任何特殊站点配置即可攻陷目标，只需目标运行受影响版本的 WordPress 实例且可从网络访问即可。

鉴于该漏洞的严重性，发现该漏洞的公司Searchlight Cyber 暂未公开技术利用细节，以便给站点管理员留出修复时间，同时发布了免费公开扫描器（访问 wp2shell[.]com），供管理员检查自己的站点是否存在漏洞。

受影响版本

该漏洞涉及两个CVE编号，即CVE-2026-60137和CVE-2026-63030，影响特定范围内的 WordPress Core 版本。受影响版本是WordPress 6.9.0—6.9.4、7.0.0—7.0.1、7.1测试版（预发布），6.8.5及更早版本不受影响。值得注意的是，WordPress 6.8分支版本仅受 SQL 注入组件（CVE-2026-60137）影响，不受RCE利用链影响，且修复方案已向后兼容到6.8.6版本。

WordPress.org 已交付7.0.2版本，并在6.9.5和6.8.6中向后兼容修复方案，同时修复了严重的RCE漏洞和高危SQL注入漏洞。鉴于漏洞的严重性，WordPress.org 团队采取不同寻常的措施，通过自动更新系统将该更新强制推送给所有运行受影响版本的站点，而非等待管理员手动执行更新操作。

站点管理员也可通过 WordPress 仪表盘手动更新，导航到“更新”并点击“立即更新”，或者直接从 WordPress.org 下载发行包。WordPress安全团队致谢三名研究员 TF1T、dtro 和 haongo 共同报告的 SQL 注入漏洞，同时也致谢 Adam Kues 识别出 REST API 批处理路由 RCE 攻击链。

对于无法立即更新的管理员，Searchlight Cyber 建议采取紧急临时缓解措施，但这些措施可能会影响站点的正常功能：