WordPress wp2shell 高危漏洞链安全通告
WordPress wp2shell 高危漏洞链安全通告
2026-07-20 14:03
近期，WordPress内容管理系统被曝出两个高危漏洞，组合后形成代号为“wp2shell”的攻击链。由于相关漏洞细节及利用工具已在互联网公开，该漏洞组合正面临被广泛利用的严重风险。攻击者无需任何账号密码，即可远程控制网站，危害极大。
一、漏洞原理简述
该攻击链由两个漏洞配合完成：
CVE-2026-63030（REST API 路由混淆）：WordPress的批量API接口在处理请求时存在逻辑缺陷，攻击者可利用此漏洞绕过权限检查。
CVE-2026-60137（SQL注入）：在绕过权限后，攻击者可通过精心构造的请求，将恶意SQL代码注入网站数据库查询。
通过组合利用，攻击者可以先通过SQL注入窃取管理员密码，登录后台后上传恶意插件，最终实现远程代码执行，即完全接管目标网站。
二、哪些版本受影响
-
主要受影响版本：WordPress 6.8.0 至 6.8.5、6.9.0 至 6.9.4、7.0.0 至 7.0.1。
-
安全版本：请立即升级至 6.8.6、6.9.5、7.0.2 或更高版本。
三、立即采取的行动
1. 首选方案：立即升级
-
将WordPress程序升级至上述安全版本，这是彻底修复漏洞最有效的方法。
-
重要提醒：执行升级前，务必备份您的网站全部文件与数据库。
2. 临时缓解措施（如无法立即升级）
-
部署防火墙规则：在网站防火墙（WAF）或反向代理中，拦截包含
/wp-json/batch/v1或/?rest_route=/batch/v1的恶意请求。 -
限制接口访问：可通过安装插件或添加代码，为REST API的批量接口强制增加身份验证。
-
检查网站日志：重点排查日志中针对上述API地址的异常访问记录。
3. 全面安全自查
如果您的网站曾在受影响版本上运行，建议进行以下排查：
-
立即更换所有管理员密码。
-
检查并清理未知或可疑的管理员账号。
-
检查插件和主题目录，删除任何未知文件。
-
检查网站根目录是否存在可疑PHP文件。