是什么
2026年7月17日,NVD 公布了 WordPress 核心的严重漏洞 CVE-2026-63030。社区将这条利用链称为 WP2Shell:REST API 批处理路由混淆(/?rest_route=/batch/v1)加上 author__not_in 参数的 SQL 注入(CVE-2026-60137),最终导致未认证远程代码执行。
利用情况
- 7月20日: CrowdSec 发现首次利用并发布检测规则。
- 7月21日: CISA 将该 CVE 加入 KEV,联邦修复期限为 7月24日。
- 严重性为 CVSS 9.8,PoC 和 Nuclei 模板已公开。数日内数千个独立 IP 开始扫描互联网。
受影响版本与修复
影响 WordPress 6.9.x 低于 6.9.5 以及 7.0.x 低于 7.0.2。修复已随这些版本发布。由于属于核心漏洞,不依赖插件:任何未更新的公网站点都是目标。
该做什么
立即升级到 7.0.2 或 6.9.5,确认自动更新已生效(包括预发环境和托管主机),并监控 REST 批处理端点。