WordPress "wp2shell" 远程代码执行漏洞，建议WordPress 网站都升级7.0.2！

WordPress 被披露其存在远程代码执行漏洞，编号分别为 CVE-2026-63030 与 CVE-2026-60137，统称 "wp2shell"。攻击者无需登录即可远程发起利用：借助 REST API /batch/v1 端点存在的路由混淆问题下发任意 SQL 查询、窃取数据库中的敏感数据，并在拿到管理员密码哈希后经由恶意插件上传通道完成代码执行。

请您尽快核查自身业务是否使用了受影响版本的 WordPress，若在影响范围内，建议第一时间完成修复。

漏洞详情

WordPress 是一套基于 PHP 编写的建站程序，可运行在同时提供 PHP 环境与 MySQL 数据库的服务器上，既能用于搭建博客站点，也常被当作内容管理系统（CMS）使用。

• CVE-2026-63030（路由混淆缺陷）：/batch/v1 端点处理批量请求时，serve_batch_request_v1() 函数会同时维护 $matches（命中的处理程序）与 $validation（校验结果）两个并列数组。一旦某个子请求路径在 wp_parse_url() 阶段解析失败，它只会被写入 $validation 而不会计入 $matches，两个数组的下标随之错位，导致其余子请求被派发到本不属于它们的处理程序。
• CVE-2026-60137（SQL 注入）：攻击者通过构造嵌套的批量请求，在内层 POST 请求里夹带 GET 参数（例如 author_exclude）；此类参数进入 WP_Query 后未做过滤便直接拼接进 SQL 语句，从而触发布尔型与时间型盲注。
• 组合利用效果：先读出管理员密码哈希，破解后利用插件上传能力落地任意代码执行。

当前该漏洞的技术分析与 POC 均已在互联网公开。

永久修复方案（推荐所有站点执行）

直接升级WordPress官方修复版本，彻底根除漏洞缺陷，是最安全、最稳定的修复方式：

• 9系列用户：升级至 WordPress 6.9.5及以上；
• 0系列用户：升级至WordPress 7.0.2及以上；
• 新版迭代用户：可升级至1 Beta2及以上预览版本。

升级前建议备份站点源码与数据库，避免升级过程出现兼容问题导致业务中断。

临时紧急缓解方案（无法停机升级场景）

针对业务7*24小时在线、暂时无法升级的站点，可通过接口拦截实现临时防护，精准阻断漏洞攻击流量：

1. 禁止批量接口POST请求：通过Nginx/Apache配置、WAF规则，拦截所有针对 /wp-json/batch/v1的POST请求，不影响常规REST API业务；
2. 开启持久化对象缓存：漏洞利用依赖无缓存环境，开启Redis/Memcached对象缓存后，可直接阻断漏洞利用链路；
3. 临时禁用REST API未授权访问：通过WP配置文件或安全插件，限制匿名用户调用REST API核心接口。

学习资料见知识星球。

以上就是今天要分享的技巧，你学会了吗？若有什么问题，欢迎在下方留言。

快来试试吧，小琥 my21ke007。获取 1000个免费 Excel模板福利​​​​！

更多技巧， www.excelbook.cn

欢迎 加入 零售创新 知识星球，知识星球主要以数据分析、报告分享、数据工具讨论为主；