Apa itu
Pada 17 Julai 2026, NVD menerbitkan CVE-2026-63030, kelemahan kritikal dalam WordPress core. Komuniti menamakan rantaian itu WP2Shell: kekeliruan laluan REST API batch (/?rest_route=/batch/v1) ditambah suntikan SQL dalam parameter author__not_in (CVE-2026-60137), membawa kepada pelaksanaan kod jauh tanpa pengesahan.
Eksploitasi
- 20 Julai: CrowdSec melihat eksploitasi pertama dan mengeluarkan peraturan pengesanan.
- 21 Julai: CISA menambah CVE itu ke katalog KEV, dengan tarikh akhir persekutuan 24 Julai.
- Keterukan CVSS 9.8, dengan PoC dan templat Nuclei awam. Dalam beberapa hari, beribu IP unik mengimbas internet.
Versi terjejas dan pembetulan
Menjejaskan WordPress 6.9.x sebelum 6.9.5 dan 7.0.x sebelum 7.0.2. Pembetulan ada dalam keluaran tersebut. Kerana ia pepijat teras, tiada plugin diperlukan.
Apa perlu dibuat
Kemas kini serta-merta ke 7.0.2 atau 6.9.5, pastikan auto-kemas kini benar-benar digunakan dan pantau titik akhir REST batch.