紧急通知：WordPress高危漏洞爆发，务必升级最新安全版本

紧急通知：WordPress爆出高危组合漏洞，站长务必升级至最新安全版本

WordPress官方紧急发布安全补丁，针对6.8‑7.0版本修复两处漏洞，两个漏洞搭配可被黑客远程组合利用，未授权攻击者能够读取数据库信息，极端情况下拿下服务器最高权限，目前漏洞利用代码POC已经流出，互联网当中大规模扫描攻击已经开始，搭建网站的站长必须重视本次安全更新。

一、漏洞详情解析

本次一共爆出两个漏洞：CVE‑2026‑63030以及CVE‑2026‑60137，行业将这套漏洞组合命名为wp2shell。

1. CVE‑2026‑63030：REST‑API路由逻辑缺陷
WordPress REST‑API里面的batch/v1批量请求接口存在逻辑漏洞。系统处理嵌套请求时，路由匹配数组和参数校验数组出现错位问题。黑客借助这个问题绕过系统权限校验，随意传入后台查询参数。普通访客无需登录就可以触发漏洞，这也是整套漏洞的入口。
​
2. CVE‑2026‑60137：SQL盲注漏洞
黑客利用上面路由漏洞传入 author_exclude 参数，代码没有对参数做过滤，直接拼接到SQL查询语句里面，形成布尔型和时间类型的SQL注入。
攻击者通过注入读取数据库全部内容，拿到管理员账号密码哈希值，破解管理员密码之后，再结合老旧插件的上传漏洞上传webshell后门文件，最终实现远程代码执行，完全控制服务器。

受影响版本

– WordPress 6.8.0‑6.8.5
​
– WordPress 6.9.0‑6.9.4
​
– WordPress 7.0.0‑7.0.1

修复后的安全版本：6.8.6、6.9.5、7.0.2。
只有升级到对应版本，才可以彻底解决本次漏洞风险。

二、网站被入侵之后会出现哪些后果

1、数据库全部信息泄露，文章内容、后台账号密码、会员资料被窃取；
2、网站被植入隐形黑链、赌博广告、垃圾跳转链接，域名信任度下降，搜索引擎降权；
3、上传持久化后门，即便后期修复漏洞，黑客依旧可以反复进入你的网站；
4、服务器沦为肉鸡，被黑客用来扫描全网主机、发送垃圾邮件，造成服务器IP被拉黑；
5、情况严重时黑客拿到服务器权限，服务器里面所有站点都会被控制。

三、判断自己网站是否存在漏洞

方式1：登录WordPress后台，仪表盘‑查看当前版本号，处于上面列出版本范围即为高危；
方式2：使用在线漏洞检测工具wp2shell.com，输入域名一键检测漏洞状态；
方式3：查看网站访问日志，大量出现访问 /wp‑json/batch/v1 请求就说明已经被黑客扫描探测。

四、漏洞修复实操教程

方案一：官方升级（唯一彻底解决办法，优先执行）

1、升级前完整备份网站程序以及MySQL数据库，避免升级失败导致网站打不开；
2、进入WordPress后台仪表盘‑更新页面，把程序升级至安全版本：6.8.6 /6.9.5 /7.0.2；
3、将全部已安装插件、主题更新到最新版，长期无人维护、来历不明的插件直接卸载删除；
4、如果配置了CDN或者缓存服务，升级完成之后清空全站缓存；
5、修改全部管理员账号密码，清理后台多余的陌生用户；
6、查看服务器文件修改日志，排查有没有新增未知的php后门文件，确认服务器有没有被入侵。

注意：WordPress自动更新并不代表更新成功。磁盘权限不足、宝塔防火墙、网络问题、缓存干扰都会导致更新失败，升级完成之后手动确认版本号。

方案二：暂时无法升级的应急防护方案（临时措施，后期依旧必须升级程序）

1、在服务器防火墙、宝塔WAF、CDN层面拦截接口： /wp‑json/batch/v1 ；
2、安装 Disable WP REST API 插件，禁止游客访问REST‑API接口；
3、部署安全防护文件disable‑batch‑api‑for‑unauth.php，强制batch接口仅限登录用户访问；
4、定期查看网站访问日志，拦截异常IP。

五、站长后期长期安全建议

1、不要随意下载网络里破解版主题、破解插件，破解程序里面大多预留后门；
2、定期备份网站数据，文件备份和数据库备份分开保存；
3、后台用户名不要使用admin，设置高强度复杂密码；
4、及时关注WordPress官方安全公告，版本更新不要拖延；
5、服务器开启防火墙，关闭不必要端口，定期查看服务器登录日志。

结尾总结

现在漏洞利用代码已经公开，互联网批量扫描疯狂进行，只要你的网站使用WordPress搭建，版本处在受影响范围，被攻破只是时间问题。千万不要抱有侥幸心理，尽快完成版本升级，保障服务器安全稳定。

本文由环球云域数据平台测评原创或整理发布，转载请保留文章标题与原文链接。
文章标题：紧急通知：WordPress爆出高危组合漏洞，站长务必升级至最新安全版本

广告