WordPress 6.8+ wp2shell 漏洞完整说明（高危无鉴权远程代码执行）

一、基础信息
漏洞代号：wp2shell

两个组合漏洞串联实现攻击：
1.CVE-2026-60137：WP_Query author_not_in 参数 SQL 注入
2.CVE-2026-63030：REST API Batch 批量接口路由混淆
风险等级：严重 Critical
核心危害：匿名游客无需登录，就能拿下服务器、上传木马 Webshell

二、影响版本
6.8.0 ~ 6.8.5：仅存在 SQL 注入，无法完整 RCE
6.9.0 ~ 6.9.4：完整 wp2shell 攻击链（无登录拿 shell）
7.0.0 ~ 7.0.1：完整 wp2shell 攻击链
修复安全版本：
6.8 分支：6.8.6
6.9 分支：6.9.5
7.0 分支：7.0.2
7.1 测试版：7.1-beta2DEV Commun...

三、攻击原理（完整链条）

1.路由混淆入口
漏洞入口：/wp-json/batch/v1 批量 API 接口。
攻击者发送嵌套批量 POST 请求，把带注入的 GET 参数塞到内层请求，绕过权限校验，直接触发 WP_Query 查询。

2.SQL 注入读取管理员账号
利用 author_not_in 未过滤拼接 SQL，盲注读取数据库：管理员 ID、用户名、密码哈希、邮箱。
拿到哈希后可离线破解管理员登录密码。

3.提权远程代码执行（Get Shell）
使用盗取的管理员凭证登录后台，通过插件上传功能上传恶意 PHP 插件，写入 Webshell，实现服务器任意代码执行、删库、提权、横向渗透。
漏洞名称 wp2shell = WordPress → Shell

四、永久根治方案（唯一彻底修复）
1. 升级 WordPress 核心（必做）
后台 → 仪表盘 → 更新，升级到对应安全版本：
7.0 系列升级至 7.0.2
6.9 系列升级至 6.9.5
升级前备份数据库 + 网站文件，避免更新异常。
无法自动升级的同学，手动下载文件解压以后覆盖你的网站文件更新：
https://wordpress.org/download/releases/

2. 检查自动更新是否生效
WordPress 官方已强制推送自动更新，但主机权限、定时任务异常会导致更新失败，必须手动核对版本号确认。

五、临时应急防护（无法立刻升级时）

方案 1：Nginx 拦截规则（推荐）

同时拦截两种访问形式，缺一不可：

if ($request_uri ~* "/wp-json/batch/v1|\?rest_route=/batch/v1") {
    return 444;
}

重启 Nginx 生效，阻断漏洞入口 Batch 接口。

方案 2：MU 插件拦截（无需改服务器配置）
新建 wp-content/mu-plugins/block-batch.php，上传后自动生效，仅拦截未登录用户访问漏洞接口：

<?php
defined('ABSPATH') || exit;
add_filter('rest_pre_dispatch', function($result, $server, $request) {
    $route = $request->get_route();
    if ($route === '/batch/v1' && !is_user_logged_in()) {
        return new WP_Error('forbidden', 'Access denied', ['status' => 403]);
    }
    return $result;
}, 10, 3);

方案 3：WAF/CDN 防护
Cloudflare、阿里云 WAF、腾讯云 WAF 均已上线官方防护规则，开启即可拦截漏洞利用流量。

六、入侵排查（怀疑已被攻击）
查看 Web 日志：搜索 batch/v1、rest_route=/batch/v1 异常 POST 请求；
扫描网站目录：查找陌生 .php 后门文件（根目录、upload、theme、plugins）；
查看管理员账号：新增未知管理员、修改密码哈希；
检查插件：未知恶意插件、修改过的插件源码；
清理建议：
重置所有管理员密码；
删除可疑插件 / 后门；
升级 WP 到安全版本；
修改数据库、主机 FTP、数据库密码。