wp2shell：WordPress核心严重RCE漏洞深度解析

漏洞编号

wp2shell攻击是一个由两个漏洞组成的漏洞链 ：

• CVE-2026-63030 —— REST API批处理端点路由混乱问题。评级为严重，CVSS评分 9.8 。（最初有来源报告为7.5，后经多家安全厂商修正为9.8 。）
• CVE-2026-60137 —— 未认证的SQL注入漏洞，存在于 WP_Query 的 author__not_in 参数中。评级为高危 。

受影响版本

• WordPress 6.9.x：6.9.0至6.9.4之间的所有版本
• WordPress 7.0.x：7.0.0和7.0.1版本
• 较旧的 6.8.x 分支已获得向后移植补丁，更新至 6.8.6

技术细节

wp2shell漏洞链由两个漏洞组成 ：

1. CVE-2026-60137 是一个未认证的SQL注入漏洞。攻击者通过向 author__not_in 参数发送精心构造的HTTP请求，无需任何登录凭证即可向WordPress数据库注入恶意SQL语句。

2. CVE-2026-63030 是REST API批处理端点（/wp-json/batch/v1）中的路由混乱漏洞。该端点允许在一次调用中处理多个子请求。一个解析缺陷导致两个内部数组不同步，使得攻击者能够绕过路由限制并链式调用通常被禁止的内部API 。

两者结合时，攻击者利用批处理端点发出嵌套请求，滥用SQL注入漏洞。通过以下方式，攻击者可将其升级为 完整的远程代码执行：

• 通过MySQL的 INTO OUTFILE 命令将任意数据（如PHP webshell）写入文件系统，或
• 操纵WordPress中可执行PHP的选项 。

该攻击 无需任何认证、无需任何插件，且可在 默认的WordPress安装 上运行 。截至2026年7月18日，公开的PoC检测工具已在 wp2shell.com 上线，且已有可运行的PoC利用代码在流传 。

一个重要的细节是：持久化对象缓存（如Redis或Memcached）可能在一定程度上缓解或改变利用路径，但并不能消除底层漏洞 。

修复和缓解措施

1. 立即更新 —— 升级至WordPress 6.9.5、7.0.2或6.8.6。已启用自动更新的站点应该已收到强制更新 。
2. 确认版本 —— 在仪表盘 → 更新页面检查，或查看 wp-includes/version.php 文件。
3. 如无法立即更新，可部署虚拟补丁或WAF规则。Cloudflare已发布专门针对wp2shell攻击向量的WAF规则 。
4. 检查入侵迹象 —— 检查 wp-content/uploads/ 下是否有异常文件、不认识的admin用户或异常的数据库条目。尽管尚未确认大规模利用，但公开的PoC意味着扫描活动很可能已经开始。
5. 审查数据库用户权限 —— 确保WordPress数据库用户没有 FILE 权限（该权限允许使用 INTO OUTFILE），这可以限制RCE升级路径。

为何WordPress的开源特性会带来严峻风险

即使尚未确认野外利用，开源模式仍为wp2shell引入了一个独特而严峻的风险：

• 攻击者可完全获取源代码 —— 由于WordPress是开源的，任何人都可以下载修复后的版本，将其与存在漏洞的版本进行代码对比，从而在补丁发布数小时内 反向工程出确切的利用路径。安全厂商证实，源代码差异分析能立即揭示存在漏洞的代码 。
• 防御窗口期被大幅缩短 —— 与需要独立漏洞研究才能开发利用的专有软件不同，开源软件的补丁实际上等同于公开发布了漏洞细节。防御方必须在数小时内（而非数天内）完成全球范围的修补。
• 庞大且多样化的攻击面 —— WordPress驱动着约43%的网站。数百万个安装由安全成熟度参差不齐的运营者管理。许多站点被忽视、运行在过时的PHP版本上，或缺乏自动更新，一旦利用代码公开，它们很容易成为攻击目标 。
• 武器化门槛极低 —— PoC检测工具和利用代码在补丁发布后的24小时内就已公开 。任何中等水平的攻击者都可以将公开代码改编成大规模扫描武器。
• 无认证屏障 —— 整个漏洞链无需认证，且适用于标准WordPress安装。攻击者不需要有效凭据、易受攻击的插件或任何特殊配置。这大大降低了大规模利用该漏洞所需的工作量 。

简而言之，开源模式意味着 补丁本身就成了一张详细的漏洞说明书，庞大且质量参差不齐的安装基数保证了存在大量易受攻击的目标——即使在尚未观察到任何“官方”利用的时期，也创造了一个高风险时段。