Ano ito
Noong Hulyo 17, 2026, inilathala ng NVD ang CVE-2026-63030, isang kritikal na kahinaan sa WordPress core. Tinawag ng komunidad ang chain na WP2Shell: route confusion sa REST API batch (/?rest_route=/batch/v1) kasama ang SQL injection sa author__not_in (CVE-2026-60137), na nagreresulta sa unauthenticated remote code execution.
Eksploitasyon
- Hulyo 20: nakita ng CrowdSec ang unang exploitation at naglabas ng detection rule.
- Hulyo 21: idinagdag ng CISA ang CVE sa KEV, may federal deadline na Hulyo 24.
- Severity ay CVSS 9.8, may pampublikong PoC at Nuclei template. Sa loob ng ilang araw, libu-libong natatanging IP ang nag-scan sa internet.
Apektadong bersyon at ayos
Apektado ang WordPress 6.9.x bago ang 6.9.5 at 7.0.x bago ang 7.0.2. Naayos sa mga release na iyon. Dahil core bug ito, hindi kailangan ng plugin.
Ano ang dapat gawin
Mag-update agad sa 7.0.2 o 6.9.5, tiyaking na-apply ang auto-update at bantayan ang REST batch endpoint.