wp2shell漏洞全面解構：WordPress核心嘅「零條件」RCE危機

修補咗啲咩？

WordPress喺2026年7月17日發佈咗 6.9.5 同 7.0.2 版本，用嚟修補wp2shell呢個漏洞鏈。呢個漏洞係由 Searchlight Cyber 旗下 Assetnote 嘅研究員 Adam Kues 發現並負責任地披露嘅。由於漏洞嚴重性極高，WordPress團隊啓動咗 強制自動更新，所有受影響嘅網站會自動收到修補。

漏洞編號

wp2shell 攻擊係由兩個漏洞組合而成嘅鏈式攻擊：

• CVE-2026-63030 — REST API 批次端點（batch endpoint）嘅路徑混淆問題。評級爲「危急」，CVSS 分數高達 9.8。（最初有報告話係7.5，但多個安全廠商之後修訂爲9.8。）
• CVE-2026-60137 — WP_Query 中 author__not_in 參數嘅未經認證SQL注入漏洞。評級爲「高」。

受影響版本

• WordPress 6.9.x：所有6.9.5之前嘅版本（即6.9.0至6.9.4）
• WordPress 7.0.x：所有7.0.2之前嘅版本（即7.0.0及7.0.1）
• 較舊嘅 6.8.x 分支亦收到反向移植修補，更新至 6.8.6

技術細節

wp2shell 攻擊將兩個漏洞串連起嚟：

1. CVE-2026-60137 係一個未經認證嘅SQL注入漏洞。攻擊者只要向 author__not_in 呢個參數發送特製嘅HTTP請求，就可以喺唔需要任何登入嘅情況下，將惡意SQL指令注入WordPress嘅數據庫。

2. CVE-2026-63030 係REST API批次端點（/wp-json/batch/v1）嘅路徑混淆漏洞。呢個端點原本係設計嚟一次過處理多個子請求，但由於一個解析邏輯嘅錯誤，導致內部兩個陣列（arrays）嘅順序錯咗位，令攻擊者可以繞過路徑限制，串連起正常情況下唔允許嘅內部API調用。

當兩個漏洞結合使用，攻擊者就可以：

• 利用批次端點發送巢狀請求去觸發SQL注入
• 然後升級做 完整嘅遠端程式碼執行，方法包括：
  • 透過MySQL嘅 INTO OUTFILE 指令將任意數據（例如一個PHP網頁後門）寫入檔案系統，或者
  • 操縱WordPress嘅選項設定去執行PHP程式碼

成個攻擊 唔需要任何登入認證、唔需要安裝任何插件，而且喺 預設安裝嘅WordPress 上就可以運作。截至2026年7月18日，一個公開嘅漏洞檢測工具已經喺 wp2shell.com 上線，同時亦有可用嘅概念驗證（PoC）攻擊程式流出。

有一點要注意：如果網站有啓用 持久對象快取（例如Redis或Memcached），可以局部減輕風險或者改變攻擊路徑，但並唔會消除底層嘅漏洞。

修補步驟

1. 立即更新 — 升級至WordPress 6.9.5、7.0.2 或 6.8.6。已經開啓自動更新嘅網站多數應該已經收到強制更新。
2. 確認版本 — 去控制台（Dashboard）→ 更新（Updates），或者檢查 wp-includes/version.php 檔案。
3. 如果暫時冇得更新，可以部署虛擬修補（virtual patch）或者網頁應用防火牆（WAF）規則。Cloudflare已經發佈咗專門阻擋wp2shell攻擊嘅WAF規則。
4. 檢查有冇被入侵嘅跡象 — 睇下有冇異常檔案喺 wp-content/uploads/ 目錄、唔認識嘅管理員帳號，或者奇怪嘅數據庫記錄。雖然未有確認大規模攻擊，但公開嘅PoC已經令掃描活動好可能已經開始咗。
5. 檢查數據庫用戶權限 — 確保WordPress數據庫用戶冇 FILE 權限（即係 INTO OUTFILE 所需嘅權限），咁樣可以限制RCE嘅攻擊路徑。

點解WordPress嘅開源特性會構成更大風險？

就算未有確認嘅大規模攻擊，開源軟件嘅模式已經爲wp2shell帶嚟咗獨特而嚴峻嘅風險：

• 攻擊者可以睇晒原始碼 — 因爲WordPress係開源嘅，任何人都可以下載已修補嘅版本，然後對比程式碼差異，喺修補程式推出後幾個鐘之內 逆向工程出完整嘅攻擊路徑。
• 防守者嘅時間窗口極短 — 唔似得專有軟件，攻擊者要自行研究先發現漏洞；開源軟件嘅修補程式本身就等於公開咗漏洞細節。防守者必須喺幾個鐘之內完成全球更新，而唔係幾日。
• 大量而多樣嘅攻擊目標 — WordPress大約佔據全球43%嘅網站。數以百萬計嘅網站由唔同技術水平嘅人營運，好多網站嘅PHP版本過時、或者冇開啓自動更新，一旦攻擊程式公開，就會成爲易中嘅目標。
• 攻擊武器化門檻低 — 漏洞檢測工具同攻擊程式喺修補程式推出後24小時內已經公開。任何有基本技術嘅攻擊者都可以將公開程式碼改造成大規模掃描工具。
• 無需認證 — 成個攻擊鏈都唔需要登入，而且喺標準嘅WordPress安裝上就搞得掂。攻擊者唔需要有有效嘅帳號密碼、唔需要漏洞插件、亦唔需要任何特別設定。呢個因素大大降低咗大規模武器化所需嘅門檻。

簡單嚟講，開源軟件嘅模式令到 修補程式本身就成爲咗詳細嘅漏洞公開文件，加上龐大而質素參差嘅安裝基數，必然會產生一大羣長期未修補嘅弱點目標——即使未有「官方」確認嘅攻擊事件，呢段時期嘅風險仍然極高。