WordPress高危漏洞：攻击者无需身份认证即可执行远程代码

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年10月19日 08:07
北京

去阅读

Seqrite研究员阿姆鲁塔·瓦格分析称，WordPress核心存在两处漏洞，可被组合利用，实现无需身份认证的远程代码执行。

该漏洞利用链被命名为WP2Shell，据报道于2026年7月出现。它结合REST API路由混淆漏洞与SQL注入漏洞，攻击者无需获取WordPress有效账号凭证，仅凭公开接口就能攻陷服务器。

该漏洞链影响版本：WordPress 6.9.0‑6.9.4，以及7.0.0‑7.0.1。其危害关键点在于：绕开了执行管理操作通常所必需的账号入侵环节，暴露在外的网站可直接成为攻击入口。

WordPress高危漏洞详情

第一个漏洞编号CVE‑2026‑63030，问题出在 /wp‑json/batch/v1 开放的REST API批量控制器。该组件用于处理单个JSON载荷内提交的多条API请求。

Seqrite表示，嵌套批量请求结构会造成路由解析逻辑错乱，请求会被分发到非预期处理程序。

攻击者借此可以调用本需要登录认证才能访问的功能。该漏洞本身无法直接执行代码，它为第二阶段攻击提供了无需认证的访问入口。

第二阶段利用漏洞CVE‑2026‑60137，这是一处文章接口的SQL注入漏洞。公开参数 author\exclude 在程序内部会映射为 WP\_Query 中的 author\\_not\_in 参数。由于输入过滤处理不足，攻击者可以构造特殊值篡改数据库查询语句。

将两处漏洞结合，攻击者就能通过公开的批量接口操纵数据库。公开演示的攻击流程：先创建管理员账号，再上传包含网页后门的恶意插件。

代码执行是多步入侵的结果，并非仅靠路由混淆直接达成。观测到的攻击前置行为：会在 wp‑content/ 目录下生成名为 temp‑write‑test‑\* 的临时文件，用来检测目录是否具备写入权限，之后这些临时文件会被删除。

随后，攻击者会把压缩包（例如 wp2shell\4e9b3641.zip ）上传至 wp‑content/uploads/2026/10/ 路径；解压后PHP恶意载荷会写入 wp‑content/upgrade/wp2shell\<十六进制字符串>/ ，再将插件目录移动到 wp‑content/plugins/wp2shell\_<十六进制字符串>/ 。

在观测样本中，上述文件写入动作由 httpd.exe 进程完成。正规插件安装也会产生类似文件行为，但出现WP2Shell特征文件名、来历不明PHP文件、新增陌生管理员账号，都是重要排查线索。

运维人员排查时，需要把这些异常痕迹和发往batch接口的HTTP POST请求、异常嵌套API载荷关联分析。报告内容为概念验证与实验室环境下的攻击现象，并不代表漏洞已经大规模被野外利用。

受影响版本及缓解方案

SQL注入漏洞本身影响WordPress 6.8.0‑6.8.5，但该版本无法完整复现整套攻击链。

修复版本为：6.8.6、6.9.5、7.0.2。

管理员优先完成对应版本升级；核查全部管理员账号；排查可疑插件目录以及PHP文件改动。

条件允许的情况下，升级修复前，可以限制未认证用户访问敏感REST API接口，降低暴露风险。

打补丁之后仍需要做入侵评估：即便漏洞组件已经修复，攻击者此前种下的网页后门、非法账号依然可能留存。