WordPress核心漏洞严重，匿名黑客可远程执行代码

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年7月18日 17:30
辽宁

在小说阅读器读本章

去阅读

WordPress核心程序中新近披露了一个无需身份验证的远程代码执行（RCE）漏洞，名为“wp2shell”。该漏洞无需身份验证即可攻击未安装任何插件的WordPress原生安装。鉴于WordPress在全球拥有约5亿个网站用户，这一漏洞尤其值得关注。

该漏洞是近期最严重的CMS安全泄露事件之一。问题源于REST API批量路由混淆以及SQL注入漏洞，二者结合可导致完全远程代码执行（RCE）。

WordPress核心严重缺陷

Assetnote 的研究员 Adam Kues 发现并报告了该漏洞，该漏洞现已被分配 CVE-2026-63030 (GHSA-ff9f-jf42-662q)。TF1T、dtro 和 haongo 报告的第二个相关的 SQL 注入问题被分配了 CVE-2026-60137 (GHSA-fpp7-x2x2-2mjf)。

由于利用漏洞不需要任何前提条件和有效凭证，任何匿名攻击者都可以立即攻破存在漏洞的网站。

Searchlight Cyber 保留了技术漏洞利用细节，以便网站所有者有时间进行修补，但已在 wp2shell[.]com 上发布了一个公共扫描器，以便管理员无需深厚的技术专业知识即可检查漏洞暴露情况。

受影响版本

• WordPress ≤6.8.5：不受 RCE 链的影响（6.8.x 仅受 CVE-2026-60137 影响）。
• WordPress 6.9.0–6.9.4：受这两个漏洞的影响。
• WordPress 7.0.0–7.0.1：受这两个漏洞的影响。
• WordPress 7.1 beta 版本：受影响；已在 7.1 beta2 中修复。

补丁和缓解措施

WordPress 安全团队发布了7.0.2 版本，修复了一个严重问题和一个高危问题。同时，还向后兼容了 6.9.5 和 6.8.6 版本。

由于远程代码执行漏洞的严重性，WordPress 已对运行受影响版本的网站启用强制自动更新，但强烈建议管理员手动验证更新。

网站所有者可以通过 WordPress 控制面板中的“更新”→“立即更新”进行更新，或者直接从 WordPress.org 下载版本。

对于无法立即进行修补的环境，Searchlight Cyber 建议采取临时缓解措施：

• 安装一个插件，完全阻止对 REST API 的匿名访问。
• 封锁/wp-json/batch/v1和?rest_route=/batch/v1WAF级别

结合 WordPress 庞大的安装基数，一旦技术细节公开或通过补丁差异进行逆向工程，wp2shell 就有可能被广泛利用，实现自动化攻击。

强烈建议安全团队和网站管理员立即更新，使用 wp2shell[.]com 工具验证补丁状态，并监控日志中是否存在针对/wp-json/batch/v1.