WordPress远程代码执行漏洞（CVE-2026-63030/CVE-2026-60137）通告
内容提要
WordPress近日修复两个高危漏洞（CVE-2026-63030/CVE-2026-60137），统称wp2shell，CVSS评分9.8。攻击者可绕过认证，通过SQL注入获取管理员密码并植入WebShell，实现远程代码执行。影响版本低于7.0.2、6.9.5或6.8.6，官方已发布更新，建议用户尽快升级或采取临时防护措施。
延伸解读
漏洞利用链分析
该漏洞组合利用了两个独立缺陷：CVE-2026-63030允许绕过REST API Batch接口的白名单限制，而CVE-2026-60137则利用WP_Query的author__not_in参数类型检查缺陷进行SQL注入。攻击者无需认证即可通过SQL注入获取管理员密码哈希，进而利用插件安装功能植入WebShell，实现远程代码执行。这种链式利用方式使得漏洞危害极大，CVSS评分高达9.8。
影响版本与升级建议
受影响版本包括WordPress 7.0.2以下、6.9.5以下以及6.8.6以下（仅CVE-2026-60137）。官方已发布修复版本，并强制自动更新推送。用户应尽快升级至7.0.2、6.9.5或6.8.6及以上版本。若无法立即升级，可采取临时缓解措施，如安装Disable WP REST API插件或拦截相关端点请求。
临时防护措施注意事项
临时防护措施包括安装插件阻止匿名访问REST Batch API、拦截特定URL路径或强制认证。但需注意，这些措施可能影响正常业务功能，且不能完全替代升级。建议在实施临时措施后，仍尽快安排升级，以彻底修复漏洞。同时，应关注官方安全公告，获取最新防护建议。
Q&A
WordPress的wp2shell漏洞是什么？
wp2shell是WordPress两个高危漏洞（CVE-2026-63030和CVE-2026-60137）的统称，攻击者可利用它们绕过认证，通过SQL注入获取管理员密码哈希，并植入WebShell，最终实现远程代码执行。
CVE-2026-63030和CVE-2026-60137的漏洞原理分别是什么？
CVE-2026-63030是REST API Batch接口处理多个子请求时存在批量路由混淆，导致攻击者能绕过白名单请求限制；CVE-2026-60137是WP_Query的author__not_in参数类型检查缺陷，导致SQL注入。
哪些WordPress版本受wp2shell漏洞影响？
受影响版本包括：WordPress 0.0至7.0.2以下（即<7.0.2）、9.0至6.9.5以下（即<6.9.5）、8.0至6.8.6以下（即<6.8.6，仅影响CVE-2026-60137）。不受影响版本为7.0.2及以上、6.9.5及以上、6.8.6及以上。
如何检测WordPress版本是否存在wp2shell漏洞风险？
可以使用命令 `wp core version` 查看当前WordPress版本，然后与受影响版本对比。
如何修复wp2shell漏洞？
官方已发布修复版本，建议升级到WordPress 7.0.2、6.9.5或6.8.6及以上版本。可通过WordPress后台的“仪表盘 → 更新 → 立即更新”进行升级，或从官网下载最新版本。
如果暂时无法升级WordPress，有哪些临时防护措施？
可以安装“Disable WP REST API”插件阻止匿名访问REST Batch API；使用安全设备拦截/wp-json/batch/v1和?rest_route=/batch/v1；或部署自定义插件强制REST batch请求必须经过身份验证。
