WordPress 发布紧急安全更新 7.0.2，高危漏洞“wp2shell”曝光，黑客无需密码即可控制网站
内容提要
WordPress紧急发布7.0.2安全更新，修复高危漏洞链“wp2shell”，该漏洞由SQL注入和REST API路由混淆组成，允许匿名攻击者无需密码即可远程执行代码并控制网站。受影响版本为6.9至7.0.1，建议立即升级至7.0.2、6.9.5或6.8.6，并检查入侵痕迹。
延伸解读
漏洞链为何危险：两个中危漏洞组合成极危
wp2shell 并非单一漏洞，而是由 SQL 注入（CVE-2026-60137）和 REST API 路由混淆（CVE-2026-63030）组合而成。单独看，前者需要管理员权限，后者单独利用价值有限，但组合后攻击者无需任何认证即可远程执行代码。这种“链式”漏洞提醒我们，评估安全风险时不能只看单个漏洞的等级，更要关注漏洞之间的组合利用可能。
影响范围与升级优先级
根据文章，6.8.0 至 6.8.5 仅存在 SQL 注入，无法直接未授权 RCE，而 6.9.0 及以上版本受完整漏洞链影响。因此，6.9 和 7.0 用户应优先升级至 7.0.2 或 6.9.5，6.8 用户也应升级至 6.8.6 以修复 SQL 注入。7.1 Beta 也受影响，测试站点需注意。升级是根本修复方案，临时禁用 Batch API 只能作为应急措施。
应急响应要点：升级之外还需排查痕迹
文章建议，若暂时无法升级，可在防火墙或 Web 服务器层阻断 /wp-json/batch/v1 和 /?rest_route=/batch/v1 的访问，并提供了禁用 Batch API 的代码。但更重要的是，升级后应检查网站是否已被入侵：查看访问日志中是否有异常 POST 请求、后台是否出现未知管理员账号、数据库 wp_posts 和 wp_options 中是否有可疑记录。这些排查步骤有助于发现潜在攻击痕迹，避免漏洞被利用后留下后门。
Q&A
WordPress 7.0.2 修复了什么漏洞？
WordPress 7.0.2 修复了代号为 wp2shell 的极危漏洞链，该漏洞链由 SQL 注入（CVE-2026-60137）和 REST API 批量路由混淆（CVE-2026-63030）组成，允许未授权攻击者远程执行代码并控制网站。
wp2shell 漏洞是如何工作的？
wp2shell 漏洞链首先利用 REST API 批量路由混淆（CVE-2026-63030）绕过身份验证，然后通过 WP_Query 的 author__not_in 参数触发 SQL 注入（CVE-2026-60137），进而插入伪造记录、创建管理员账号，最终上传恶意插件或部署 Webshell 实现远程代码执行。
哪些 WordPress 版本受 wp2shell 漏洞影响？
受完整 wp2shell RCE 漏洞链影响的版本为 6.9.0 至 6.9.4 以及 7.0.0 至 7.0.1。6.8.0 至 6.8.5 仅存在 SQL 注入，无法直接未授权 RCE。6.8.6、6.9.5 和 7.0.2 已修复。
如何修复 wp2shell 漏洞？
最根本的修复方案是立即升级 WordPress 至 7.0.2、6.9.5 或 6.8.6。若暂时无法升级，可在防火墙或 Web 服务器层阻断 /wp-json/batch/v1 和 /?rest_route=/batch/v1 的访问，或通过添加代码禁用 Batch API。
如何检查网站是否已被 wp2shell 攻击？
检查 Web 访问日志中是否有针对 /batch/v1 的异常 POST 请求；检查后台用户列表是否有未授权的新管理员账号；检查 wp_posts 和 wp_options 表中是否有可疑的缓存记录或未知代码片段。
wp2shell 漏洞中的 SQL 注入是如何触发的？
SQL 注入存在于 WP_Query 处理 author__not_in 参数时，由于 PHP 类型混淆，攻击者传入精心构造的字符串可绕过数组过滤，导致原始字符串被拼接进 SQL 查询的 WHERE 条件中。
wp2shell 漏洞中的 REST API 批量路由混淆是如何绕过认证的？
REST API 批量处理接口允许在单个请求中组合多个子请求，系统内部使用两个并行数组进行权限检查和请求执行。攻击者通过构造嵌套的恶意批量请求，利用错误触发数组对齐偏移，使高权限接口在无权限的公开接口上下文下被执行，从而实现免认证绕过。
