wp2shell：WordPress核心重大RCE漏洞修補懶人包

漏洞編號

wp2shell攻擊是由兩個漏洞組合而成 ：

• CVE-2026-63030 — REST API批次端點的路由混淆問題。評為「重大」（Critical），CVSS分數為 9.8 。（最初有來源報告為7.5，後經多家安全廠商修正為9.8 。）
• CVE-2026-60137 — WP_Query 的 author__not_in 參數中存在無須驗證的SQL注入漏洞。評為「高」嚴重性 。

受影響版本

• WordPress 6.9.x：6.9.0 至 6.9.4（不含6.9.5）
• WordPress 7.0.x：7.0.0 與 7.0.1（不含7.0.2）
• 較舊的 6.8.x 分支：已向後移植至 6.8.6

技術細節

wp2shell攻擊鏈結了兩個錯誤 ：

1. CVE-2026-60137 是一個無須驗證的SQL注入漏洞。攻擊者只要發送特製的HTTP請求到 author__not_in 參數，無需任何登入憑證，就能將惡意SQL指令注入WordPress資料庫。

2. CVE-2026-63030 是REST API批次端點（/wp-json/batch/v1）中的路由混淆缺陷。這個端點允許在單一呼叫中處理多個子請求。由於解析上的瑕疵，導致內部兩個陣列（array）不同步，讓攻擊者能夠繞過路由限制，串連起一般情況下不被允許的內部API呼叫 。

兩者合併運用時，攻擊者利用批次端點發送巢狀請求來觸發SQL注入，進而升級為完整的遠端程式碼執行，方法包括：

• 透過MySQL的 INTO OUTFILE 指令，將惡意資料（如PHP網頁後門）寫入檔案系統，或
• 操縱WordPress中會執行PHP的選項 。

此攻擊無需驗證、無需外掛，且可在預設的WordPress安裝環境下運作 。截至2026年7月18日，公開的概念驗證檢查工具已於 wp2shell.com 上線，且有效的PoC攻擊程式已在流傳 。

一個重要的細節：持續性物件快取（如Redis或Memcached）可能部分緩解或改變攻擊路徑，但無法消除底層漏洞 。

修復步驟

1. 立即更新 — 升級至WordPress 6.9.5、7.0.2 或 6.8.6。已啟用自動更新的網站，大多數應已接收強制更新 。
2. 確認版本 — 前往「儀表板」→「更新」，或檢查 wp-includes/version.php 檔案。
3. 如果無法立即更新，請部署虛擬修補（virtual patch）或WAF規則。Cloudflare已釋出專門封鎖wp2shell攻擊向量的WAF規則 。
4. 檢查是否已遭入侵 — 留意 wp-content/uploads/ 中是否出現非預期檔案、不熟悉的管理員帳號，或資料庫中異常的記錄。雖然尚未確認有大規模攻擊，但公開的PoC代表掃描行動很可能已經開始。
5. 檢視資料庫使用者權限 — 確保WordPress資料庫使用者沒有 FILE 權限（該權限允許 INTO OUTFILE 指令），以限制RCE的升級路徑。

為何WordPress的開源特性構成特殊風險

即使在野外尚未確認有實際攻擊，開源模式仍為wp2shell帶來了獨特且急迫的風險：

• 攻擊者可直接取得完整原始碼 — 因為WordPress是開源軟體，任何人都可以下載修補後的版本，將其與存在漏洞的版本進行程式碼比對（diff），在修補釋出後數小時內就能逆向工程出精確的利用路徑。安全廠商已證實，透過原始碼比對就能立刻找出有漏洞的程式碼 。
• 防禦者的反應時間極短 — 有別於專有軟體需要獨立進行弱點研究才能開發利用程式，開源軟體的修補程式實際上等於公開了漏洞細節。防禦者必須在數小時（而非數天）內完成全球性的修補。
• 規模龐大且素質不一的攻擊面 — WordPress約佔全球43%的網站。數百萬個安裝網站由安全成熟度各異的站長管理。許多網站疏於維護、使用過時的PHP版本或未啟用自動更新，一旦攻擊程式公開，這些網站就成了輕易得手的目標 。
• 武器化門檻極低 — PoC檢查工具與攻擊程式碼在修補釋出後24小時內就已公開 。任何中等技術能力的攻擊者都能將公開程式碼改造成大規模掃描的武器。
• 無需驗證的攻擊路徑 — 整個攻擊鏈無需預先驗證，且能對標準的WordPress安裝生效。攻擊者不需要有效憑證、不需要有漏洞的外掛，也不需要任何特殊設定。這大幅降低了將漏洞大規模武器化所需付出的努力 。

簡而言之，開源模式意味著修補程式本身就成了詳細的漏洞揭露文件，而龐大且品質參差不齊的安裝基數保證了會有大量易受攻擊的目標存在——即使在觀察到任何「正式的」攻擊活動之前，就已形成一個高風險時期。