近期，WordPress内容管理系统被曝出两个高危漏洞，组合后形成代号为“wp2shell”的攻击链。由于相关漏洞细节及利用工具已在互联网公开，该漏洞组合正面临被广泛利用的严重风险。攻击者无需任何账号密码，即可远程控制网站，危害极大。

一、漏洞原理简述

该攻击链由两个漏洞配合完成：

1. CVE-2026-63030（REST API 路由混淆）：WordPress的批量API接口在处理请求时存在逻辑缺陷，攻击者可利用此漏洞绕过权限检查。

2. CVE-2026-60137（SQL注入）：在绕过权限后，攻击者可通过精心构造的请求，将恶意SQL代码注入网站数据库查询。

通过组合利用，攻击者可以先通过SQL注入窃取管理员密码，登录后台后上传恶意插件，最终实现远程代码执行，即完全接管目标网站。

二、哪些版本受影响

• 主要受影响版本：WordPress 6.8.0 至 6.8.5、6.9.0 至 6.9.4、7.0.0 至 7.0.1。

• 安全版本：请立即升级至 6.8.6、6.9.5、7.0.2 或更高版本。

三、立即采取的行动

1. 首选方案：立即升级

• 将WordPress程序升级至上述安全版本，这是彻底修复漏洞最有效的方法。

• 重要提醒：执行升级前，务必备份您的网站全部文件与数据库。

2. 临时缓解措施（如无法立即升级）

• 部署防火墙规则：在网站防火墙（WAF）或反向代理中，拦截包含 /wp-json/batch/v1 或 /?rest_route=/batch/v1 的恶意请求。

• 限制接口访问：可通过安装插件或添加代码，为REST API的批量接口强制增加身份验证。

• 检查网站日志：重点排查日志中针对上述API地址的异常访问记录。

3. 全面安全自查

如果您的网站曾在受影响版本上运行，建议进行以下排查：

• 立即更换所有管理员密码。

• 检查并清理未知或可疑的管理员账号。

• 检查插件和主题目录，删除任何未知文件。

• 检查网站根目录是否存在可疑PHP文件。

四、参考资料

• WordPress 7.0.2 官方发布公告

• WordPress安全公告（GitHub）

• Cloudflare WAF防护公告