近期有不少wordpress用户反应自己的wordpress网站，被添加了很多用户，并且在网站上发了很多内容，有些还给加了很多的评论。近期大面积出现这个问题，主要是因为“WordPress远程代码执行漏洞(CVE-2026-63030)”导致的。
一、什么是 CVE-2026-63030(wp2shell)漏洞
CVE-2026-63030 是 2026 年 7 月被发现并披露的一个WordPress 核心程序的严重预认证(Pre-authentication)远程代码执行(RCE)漏洞，安全社区将其命名为 “wp2shell”。它并非依赖某个第三方插件或特殊配置的普通漏洞，而是完全存在于 WordPress 核心代码中，默认安装下即可被利用，因此波及面极大。
该漏洞于 2026 年 7 月 17 日由 GitHub 安全公告披露，CVSS 评分高达 7.5，被评定为关键(Critical)级别，并被列入 CISA 的”已知被利用漏洞目录”中。由于 WordPress 支撑着全球超过 5 亿个网站，《安全事务》(Security Affairs)、Imperva、Rapid7、Assetnote、VulnCheck 等多家国际安全机构均发布紧急警告。
漏洞的传播与影响面
2026 年 7 月 20 日前后，多个安全机构披露，攻击者正在利用 WordPress 核心近期修复的高危漏洞入侵运行旧版本的网站，受影响网站数量可能达到数千万。这与用户描述的”近期大量 WordPress 网站被添加用户、被大量发帖和评论的现象”高度吻合——这正是攻击者在获得网站控制权后，利用这些”肉鸡”站点从事黑帽 SEO(非法搜索引擎优化)操作的典型表现。
受影响版本与修复版本
根据多个安全机构的确认，受影响与修复的 WordPress 版本对应关系如下：
| 分支 | 受影响版本 | 修复版本 |
|---|---|---|
| 6.9.x | 6.9.0 ～ 6.9.4 | 6.9.5 |
| 7.0.x | 7.0.0 ～ 7.0.1 | 7.0.2 |
| 7.1 | （Beta 测试版） | 7.1 Beta 2 |
| 6.8.x | —（存在相关 SQL 注入问题） | 随同更新修复 |
也就是说，只要你的 WordPress 版本低于 6.9.5 或 7.0.2，就处于该漏洞的影响范围内。
二、漏洞的技术原理
CVE-2026-63030 真正的高危之处在于：它以 REST API 批量端点为核心，与另一个 SQL 注入漏洞 CVE-2026-60137 链式组合利用，最终实现无需任何认证的远程代码执行。
攻击链的关键环节
安全研究者(Assetnote 的 Adam Kues 等)披露的 wp2shell 攻击链大致包含以下步骤：
路由混淆(REST API 批量端点缺陷)：漏洞存在于 /wp-json/batch/v1 和 ?rest_route=/batch/v1 端点。由于 WordPress 在处理嵌套子请求时存在逻辑错误，导致一些本应验证失败的请求被错误地保留下来，从而绕过了方法白名单和路由访问限制。攻击者通过构造特殊请求，使内部数组处理错位，将恶意参数注入 WP_Query。
SQL 注入(CVE-2026-60137)：WordPress 的 WP_Query 类在处理 author__not_in 参数时，未正确验证输入类型，当查询参数以字符串形式提供时会被未过滤地直接插入 SQL 语句，导致 SQL 注入。单看该 SQL 注入本身需要插件或主题传递不受信输入，但当它与 CVE-2026-63030 的认证绕过相结合时，就可在未安装任何插件的原生 WordPress 中被利用。
对象水合(Object Hydration)与管理员账户伪造：攻击者借助 SQL 注入提取数据库信息，获取并破解管理员密码哈希，进而伪造管理员账户。
写入与代码执行：成功获得管理员权限后，攻击者通过 oEmbed 写入路径等手法，上传恶意插件或主题(Webshell)，实现最终的远程代码执行，彻底控制整个网站乃至服务器。
关键前提
研究者指出，该攻击链在未启用 Redis 或 Memcached 等对象缓存机制的默认配置下尤为危险。同时，如果管理员设置的密码足够强，攻击者破解哈希的难度会显著增加，从而提升整个攻击的难度。
攻击的典型特征
由于这次攻击往往被利用于黑帽 SEO 场景，受害者网站常出现以下典型症状：
被批量添加大量新用户(攻击者创建管理员账户维持权限);
被大量发布内容(文章/页面)和评论，通常带有垃圾外链或推广内容，用于寄生虫排名、留痕霸屏等黑帽 SEO 操作;
网站被植入 Webshell 木马，攻击者借机收集信息并维持持久访问。
三、解决方法与加固建议
针对该漏洞，安全机构(Imperva、Rapid7、VulnCheck、WordPress 官方等)给出的解决方案可以归纳为”应急处置”与”长期加固”两个层面。
(一)应急处置(当务之急)
1. 立即升级 WordPress 至安全版本(根本解决办法)
这是最彻底、最优先的修复手段：
升级到 6.9.5、7.0.2(或 7.1 Beta 2)及以上版本。
WordPress 官方已针对此漏洞强制启用自动更新，但仍建议管理员手动确认版本号已更新到位。
2. 若暂时无法升级，采取临时缓解措施
在升级前，可采取以下临时手段降低风险(注意：这些只是临时的过渡方案，最终仍须升级)：
通过 WAF(Web 应用防火墙)规则或安全插件，临时阻止对 REST API 批量端点的访问(如 /wp-json/batch/v1 和 ?rest_route=/batch/v1)。
例如 Cloud WAF(Imperva 等)已发布针对该漏洞的防护规则。
3. 排查是否已被入侵
鉴于攻击可能在漏洞修复前就已经发生(黑帽 SEO 场景往往先植入后门再慢慢利用)，仅升级版本并不等于网站已经干净，还应同步排查：
检查用户列表：删除攻击者创建的多余管理员/编辑用户;
检查异常请求日志：监控是否存在特定 User-Agent、multipart/form-data 边界、可疑插件文件名和查询参数等攻击特征;
检查文件完整性：重点排查主题/插件目录下新出现或改动过的 PHP 文件(疑似 Webshell);
检查数据库：审查最近新增的文章、页面、评论内容是否含垃圾外链。
(二)长期加固建议
1. 强化管理员密码
研究者明确指出，管理员密码强度直接影响攻击成功率。应使用高复杂度、不与其他站点复用的密码，并建议开启双重身份认证(2FA)。
2. 定期更新与维护
保持 WordPress 核心、插件、主题全部为最新版本;
尽量使用官方正版主题与插件，避免使用含后门的破解版/盗版主题插件——不少破解包里被混入了后门加密代码。
3. 启用对象缓存并加强监控
按需启用 Redis/Memcached 等对象缓存可间接提高部分攻击链步骤的难度;
部署 WAF 和安全监控，持续监控异常请求、文件上传行为及日志变动;
定期备份，确保在遭遇入侵后能快速恢复。
4. 关注主机商安全公告
正如用户所提到的，目前不少主流主机商已在主机安全相关说明(安全公告、预警)中给出针对 CVE-2026-63030 的提醒与对应处理方案，例如南京林业大学等机构也已发布类似的预警提示。建议优先参照您所使用的主机商提供的正式方案操作。
CVE-2026-63030(wp2shell)是 2026 年影响 WordPress 核心的严重预认证远程代码执行漏洞，通过与 CVE-2026-60137 的链式利用，攻击者可在默认安装、无需登录的情况下创建管理员账户、植入木马并执行任意代码。这正是近期大量 WordPress 网站被添加用户、被大量发布垃圾内容和评论的黑帽 SEO 攻击的核心原因。
当前最关键的处置动作是：确认 WordPress 版本，立即升级到 6.9.5 / 7.0.2 及以上;同时排查已被创建的恶意用户、植入的 Webshell 和后门;在无法立即升级时，先用 WAF/安全插件临时封禁 REST API 批量端点;并参考您的主机商安全公告给出的方案完成后续加固。
说明：以上信息综合自 2026 年 7 月 VulnCheck、Rapid7、Imperva、Security Affairs、NVD 及国内安全机构出具的公告与预警，截至 2026-07 数据。建议持续关注 WordPress 官方与您主机商后续发布的最新补丁和安全指引。
