Là gì
Ngày 17/7/2026, NVD công bố CVE-2026-63030, lỗ hổng nghiêm trọng trong WordPress core. Cộng đồng gọi chuỗi này là WP2Shell: nhầm lẫn tuyến REST API batch (/?rest_route=/batch/v1) cộng SQL injection ở tham số author__not_in (CVE-2026-60137), dẫn tới thực thi mã từ xa không cần xác thực.
Khai thác
- 20/7: CrowdSec thấy khai thác đầu tiên và phát hành quy tắc phát hiện.
- 21/7: CISA đưa CVE vào danh mục KEV, hạn liên bang 24/7.
- Mức nghiêm trọng CVSS 9.8, có PoC và mẫu Nuclei công khai. Trong vài ngày, hàng nghìn IP độc lập quét internet.
Phiên bản bị ảnh hưởng và bản vá
Ảnh hưởng WordPress 6.9.x trước 6.9.5 và 7.0.x trước 7.0.2. Bản vá nằm trong các bản phát hành đó. Vì là lỗi core nên không cần plugin.
Cần làm gì
Cập nhật ngay lên 7.0.2 hoặc 6.9.5, xác nhận auto-update đã áp dụng và giám sát endpoint REST batch.