漏洞预警丨WordPress Core 未授权远程代码执行漏洞（CVE-2026-60137）

原创

烽火台实验室
烽火台实验室

Beacon Tower Lab

2026年7月21日 17:23
北京

在小说阅读器读本章

去阅读

一、漏洞概述

近期，互联网上披露了 WordPress Core 未授权远程代码执行漏洞（CVE-2026-60137，又称 wp2shell），攻击者无需任何身份认证即可通过 REST API 批处理接口注入 SQL 语句，进一步创建管理员账号并上传 webshell，最终完全控制目标服务器。为避免您的业务受影响，建议您及时开展安全风险自查。

WordPress 是使用 PHP 语言开发的开源内容管理系统（CMS），是目前全球使用最广泛的建站平台，广泛应用于个人博客、企业官网、电子商务及新闻媒体等各类网站。

据描述，该漏洞存在于 WordPress REST API 批处理端点（/wp-json/batch/v1）。serve\batch\_request\_v1() 在调度子请求时，用于匹配的 $matches 数组与用于校验的 $validation 数组因畸形路径（wp\_parse\_url() 解析失败）产生错位，导致子请求被分发到其他子请求对应的处理器上执行（路由混淆）。攻击者可借此绕过方法白名单与参数校验，将精心构造的 author\_exclude 参数带入 WP\_Query 的 author\\_not\_in 查询变量并直接拼接进 SQL 语句，实现未授权 SQL 注入；进一步利用 UNION 伪造文章、oEmbed 缓存与自定义器（customizer）变更集等组合原语，可未授权创建管理员账号，进而通过插件上传写入 webshell，实现远程代码执行。

漏洞影响的产品和版本：

• WordPress 6.9.0 – 6.9.4
• WordPress 7.0.0 – 7.0.1
• WordPress ≤ 6.8.5 不受影响
• WordPress 7.0.2、6.9.5 已修复

二、漏洞复现

三、资产测绘

据daydaymap数据显示互联网存在52,511,611个资产，风险资产分布情况如下。

全球分布：

国内分布：

四、解决方案

官方修复：

• WordPress 官方已发布安全更新，请尽快升级至 WordPress 7.0.2；仍在 6.9 分支的站点请升级至 WordPress 6.9.5。
• 可在后台“仪表盘 → 更新”中执行升级，或开启自动更新。

临时缓解措施（无法立即升级时）：

• 在边缘/WAF 侧同时拦截 /wp-json/batch/v1 路径及 rest\_route=/batch/v1 查询参数的请求，禁止未授权访问批处理端点。
• 通过 rest\_pre\_dispatch 过滤器强制批处理端点要求身份认证。
• 排查 wp\_users 表中是否存在可疑新增管理员账号，检查 wp-content/plugins/ 目录是否存在陌生插件目录。
• 审查 Web 访问日志中对 batch/v1 的 POST 请求，重点关注包含 author\_exclude、UNION 等特征的请求。

五、参考链接

WordPress 7.0.2 发布公告：https://wordpress.org/news/2026/07/wordpress-7-0-2-releaseSearchlight Cyber wp2shell 漏洞分析：https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-coresergiointel/wp2shell-poc（SQLi-to-admin 桥接）：https://github.com/sergiointel/wp2shell-poc

六、ddpoc链接

https://www.ddpoc.com/DVB-2026-11497.html