2026-07-22 07:42:46 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： WordPress核心代码曝出高危RCE漏洞wp2shell，允许未经身份验证的攻击者完全控制网站，影响全球超5亿站点。漏洞源于RESTAPI批处理路由的逻辑混淆，可导致SQL注入并升级为远程代码执行。官方已强制推送自动更新补丁至7.0.2、6.9.5和6.8.6版本。无法立即升级的站点应使用WAF封锁/batch/v1路径或禁用匿名RESTAPI访问。 综合评分： 89 文章分类： 漏洞分析,应急响应,安全工具,供应链安全,漏洞预警

cover_image

全球网络安全紧急警报：WordPress 核心代码曝出高危 RCE 漏洞，5亿个网站面临沦陷风险

原创

网络研究观网络研究观

网络研究观

2026年7月18日 22:52 福建

在小说阅读器读本章

去阅读

全球使用量最大的内容管理系统（CMS）WordPress 核心代码日前被曝出一个代号为 “wp2shell” 的极具破坏性的远程代码执行（RCE）漏洞。该漏洞允许未经身份验证的远程黑客完全控制目标网站，从而直接威胁到全球超过 5 亿个网站的安全。

在通用漏洞披露体系中，该漏洞及相关关联问题被追踪为 CVE-2026-60137 和 CVE-2026-63030。由于事态极其严重，WordPress.org 官方安全团队已经采取了极为罕见的强力干预措施：绕过常规更新提示，面向全球所有受影响的站点强制推送并执行自动更新补丁（涵盖 7.0.2、6.9.5 和 6.8.6 版本）。

一、危机降临：“wp2shell” 漏洞究竟是什么？

#

网络安全行业近日拉响了最高级别的安全警报。知名安全公司 Searchlight Cyber 旗下 Assetnote 团队的核心研究员亚当·库斯（Adam Kues）在对 WordPress 的底层架构进行例行安全审计时，意外发现了这个隐藏极深的“毁灭性”漏洞。由于其能够让黑客轻松获取网站的底层控制权（Webshell），该漏洞被安全圈形象地命名为 “wp2shell”。

在网络安全领域，远程代码执行（RCE）向来被称为“漏洞之王”。而 wp2shell 更是其中的“王中之王”——它是一个身份验证前（Pre-authentication）的 RCE 漏洞。这意味着，攻击者在发起攻击时，完全不需要目标网站的任何账号或密码，就能以匿名身份在服务器上执行任意恶意代码。

技术机理：从 API 混淆到完全沦陷

#

根据研究员透露的初步信息，该漏洞的根源位于 WordPress 核心的 REST API 批处理路由（Batching Routes）设计中。

1. 逻辑混淆：WordPress 为了提高前后端数据交互的效率，允许通过特定的批处理路由同时发送多个 API 请求。然而，在处理这些并行请求的调用逻辑时，核心代码出现了解析混淆。

2. SQL 注入：这种逻辑混淆直接导致了安全边界的失效，使得攻击者可以巧妙地绕过系统的过滤机制，将恶意的 SQL 语句注入到数据库查询中。

3. 代码执行：通过成功的 SQL 注入，黑客不仅能窃取或篡改数据库中的敏感数据，还能进一步突破权限限制，修改配置或上传恶意文件，最终演变为远程代码执行（RCE）。

一旦漏洞被成功利用，黑客就可以在受害者网站上植入后门、窃取用户信息、篡改网页内容（挂马）、甚至将整个网站服务器变成用于攻击其他目标的“肉鸡”或勒索软件的跳板。

二、零门槛与零点击：为何说它极具杀伤力？

#

普通的 WordPress 漏洞往往需要特定的条件才能触发，例如：

网站必须安装了某款冷门的第三方插件；
网站必须使用了某个具有特定缺陷的主题；
攻击者必须拥有一个低权限的注册用户账号。

然而，wp2shell 彻底打破了这些限制。它的恐怖之处在于其具备“零门槛”与“零点击”的攻击特性：

1. 纯净安装版同样无法幸免

#

该漏洞存在于 WordPress 的核心代码（Core）中，而非第三方组件。这意味着，即使你搭建的是一个完全没有安装任何插件、没有使用任何特殊配置、采用官方默认主题的“纯净标准版”WordPress 网站，只要版本在受影响范围内，同样会直接暴露在黑客的枪口之下。

2. 完美的“零点击”攻击

#

攻击的触发不需要网站管理员或任何访客进行任何互动（比如点击恶意链接或下载文件）。黑客只需要知道目标网站的网址，通过自动化脚本向该网站发送一个特制的网络请求，就能在无声无息中完成入侵。

由于 WordPress 撑起了全球近 43% 的网站，包括大量的政府门户、企业官网、知名媒体以及数以亿计的个人博客，受波及的网站总数预估超过 5 亿个。这种无差别、低门槛、高回报的漏洞，对于全球的网络犯罪分子、勒索软件团伙以及自动化僵尸网络来说，无疑是一场饕餮盛宴。

三、受影响版本细分与双 CVE 追踪

#

为了让安全业界和管理员能够更精准地进行风险评估，该漏洞及相关修复工作通过两个不同的 CVE 编号进行了细致的追踪：

CVE-2026-60137（SQL 注入漏洞）：此 CVE 专门涵盖了由多位独立安全研究员（包括知名白帽黑客 TF1T、dtro 和 haongo）共同发现并报告的底层 SQL 注入问题。
CVE-2026-63030（RCE 链条漏洞）：此 CVE 则对应亚当·库斯（Adam Kues）报告的、利用 REST API 批处理路由将上述混淆转化为完整远程代码执行权限的完整攻击链。

受影响的版本：

#

| WordPress 主分支系列 | 受影响情况 | 官方修复版本 | | — | — | — | | 7.0 系列 | 同时受到 SQL 注入与 RCE 链的致命威胁 | 7.0.2 | | 6.9 系列 | 同时受到 SQL 注入与 RCE 链的致命威胁 | 6.9.5 | | 6.8 系列 | 仅受 SQL 注入影响，不受完整 RCE 链威胁 | 6.8.6 |

#

四、行业震动：WordPress 官方启动“强制自动更新”

#

鉴于该漏洞可能引发全球互联网大面积瘫痪的灾难性后果，Searchlight Cyber 安全团队采取了极其负责任的负责任披露（Responsible Disclosure）策略。他们目前对漏洞的具体技术细节和攻击载荷（Payload）保持绝对保密，没有向外界透露任何可以被直接利用的代码，以便给全球网站管理员留出宝贵的修复缓冲期。

同时，Searchlight Cyber 还在wp2shell.com设立了一个免费的公共漏洞扫描平台。网站管理员可以输入自己的网址，安全地检测自己的站点是否仍处于危险之中。

罕见的强力干预

#

通常情况下，WordPress.org 在发布安全补丁后，会通过后台向管理员发送更新通知，由管理员决定何时升级。但面对这一次 5 亿网站命悬一线的极端危机，WordPress 官方安全团队做出了一个不同寻常且极其果断的决定：强制执行全网自动更新。

WordPress 安全团队利用其内置的核心升级机制，向全球所有处于受影响版本的网站强制推送了紧急补丁。即使管理员没有登录后台点击升级，系统也会在后台自动下载并应用 7.0.2、6.9.5 或 6.8.6 补丁。这种“打破常规”的举动，充分证明了该漏洞的危害性已经达到了业界的最高级别。

五、应急避险指南：如果无法升级，该怎么办？

#

虽然官方实施了强制自动更新，但在实际的企业生产环境中，很多大型企业或特定行业的网站因为采用了严格的变更管理、本地化镜像源或关闭了外部网络连接，导致自动更新可能会失败或被刻意禁用。

对于这些无法立即升级官方补丁的特殊站点，Searchlight Cyber 的安全专家强烈建议立即采取以下临时紧急防御措施：

方案 A：利用 WAF（Web 应用防火墙）封锁高危路径

#

这是最有效且不会破坏网站整体框架的临时手段。管理员应立即在服务器前端的 WAF、Nginx、Apache 或 CDN（如 Cloudflare）上配置安全规则，彻底拦截并拒绝针对以下两个 REST API 批处理端点的所有匿名访问请求：

路径一：/wp-json/batch/v1
路径二（带参数形式）：?rest_route=/batch/v1

方案 B：安装或配置插件，全面禁用匿名 REST API 访问

#

如果企业没有部署高级 WAF，可以通过修改代码或使用专门的安全插件，配置为“仅允许已登录的信任用户访问 REST API”。这样可以从应用层直接切断未经身份验证的黑客攻击路径。

https://wp2shell.com/

重要安全提示：

以上两项应急措施均属于“权宜之计”。阻断这些 API 端点可能会导致网站的部分合法功能（如某些动态前端组件、特定第三方客户端插件或自动化管理工具）出现异常。因此，这些方法只能作为官方补丁应用前的临时避风港。一旦条件允许，彻底升级到官方安全版本（7.0.2 / 6.9.5 / 6.8.6）是唯一能够根除后患的手段。

六、数字化时代的供应链安全

#

“wp2shell” 漏洞的爆发，再次将“网络供应链安全”和“核心基建漏洞”推到了风口浪尖。一个看似不起眼的 API 优化路由，在安全研究员的链条式组合利用下，竟然能演变成能够动摇全球 5 亿个网站根基的灾难级武器。

这也向所有的网站建设者、企业 IT 决策者敲响了警钟：

1. 摒弃“小站无后顾之忧”的侥幸心理：黑客攻击大多采用自动化扫描，他们不在乎你的网站是跨国巨头还是个人博客，只要核心代码有漏洞，就会被一网打尽。

2. 保持安全更新通道的畅通：在保障业务连续性的前提下，应尽可能允许核心安全补丁的及时跟进。

3. 多层防御架构至关重要：纵深防御（如合理配置 WAF、定期进行资产扫描）能够在官方补丁发布前的“零日漏洞（Zero-Day）”窗口期内，为企业争取到最核心的生存空间。

请立刻登录您的 WordPress 网站后台，或者使用wp2shell.com工具，检查您的网站是否已经安全升级。在网络安全的世界里，速度决定了一切。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网络研究观网络研究观网络研究观《全球网络安全紧急警报：WordPress 核心代码曝出高危 RCE 漏洞，5亿个网站面临沦陷风险》