这是针对已确认在野遭利用（已列入 CISA KEV）漏洞的防御性通告。内容包括发生了什么、影响范围以及应如何应对，不包含攻击方法或概念验证代码。
6.8 分支不受同一 RCE 攻击链影响
官方通告将两个 CVE 都列为 6.9/7.0 的影响项，但 6.8 仅列出 CVE-2026-60137。建议更新至 6.8.6 并不意味着该分支受 CVE-2026-63030 影响。
- CVE
- CVE-2026-63030（路由混淆，CWE-436）+ 组合的 CVE-2026-60137（SQL 注入，CWE-89）
- 严重程度
- 严重（CVSS 9.8）— 正在被积极利用（CISA KEV；修复期限为 2026-07-24）
- 类型
- REST API 路由混淆 × author__not_in SQL 注入 → 未认证 SQL 注入 → RCE
- 影响
- 未认证 SQL 注入、远程代码执行（RCE）、数据窃取
- 受影响范围
- 63030：影响 6.9.x / 7.0.x；6.8.x 仅受 60137 影响
- 主要修复
- 更新至 6.8.6 / 6.9.5 / 7.0.2 或更高版本
无需认证即可到达
REST API 路由混淆（CWE-436）
通过 author__not_in 的 SQL 注入
RCE 与数据窃取
修复：更新至 6.8.6 / 6.9.5 / 7.0.2 或更高版本
为什么不打补丁很危险
由于无需认证即可达到 RCE，公开的 WordPress 网站正成为大规模自动化扫描的目标。这是核心本身的缺陷，并不局限于某个特定插件，因此每个使用受影响版本的网站都可能在风险范围内。CISA 要求联邦机构在 2026-07-24 前完成修复。“我们太小，不会成为目标”这种想法并不成立。
受影响范围
| 项目 | 详情 |
|---|---|
| 目标 | WordPress 核心 |
| 受影响版本 | 6.8.0–6.8.5（60137）/ 6.9.0–6.9.4 / 7.0.0–7.0.1 |
| 修复版本 | 6.8.6 / 6.9.5 / 7.0.2 及更高版本 |
| 前提条件 | 组合时无需认证 |
| 可达影响 | SQL 注入 → 远程代码执行（RCE）；数据窃取 |
| 状态 | 两者均在被积极利用（CISA KEV；修复期限为 2026-07-24） |
关于两方严重程度评分不同的说明
CVE-2026-60137 单独来看的严重程度因来源而异。WPScan 评为 CVSS 5.9（单独来看，它需要插件或主题将不可信输入传递给 author__not_in，这是一个可达性前提），而 CISA 评为 9.1。与 CVE-2026-63030 的路由混淆结合后，它可以直接通过 REST API 访问，实际上无需认证即可利用（CVSS 9.8）。差异反映的是各方如何评估可达性前提；应对措施相同——更新至修复版本。
如何应对
将核心更新至 6.8.6 / 6.9.5 / 7.0.2 或更高版本（最优先）
检查是否已被入侵（假设你在更新前已遭到访问）
在能够更新之前的临时防护（纵深防御）
通过机制持续监控核心、插件和主题的 CVE
本站观点：假定所有输入都不可信
从本质上看，这个缺陷是不可信输入通过一条意外路径（路由混淆）进入查询。始终使用占位符（预处理语句），并且无论输入经由何种路径、是否假定了某些前提，都始终对输入进行净化和验证，即可从设计上避免 SQL 注入。立即更新是必须的，但长期有效的做法是采用“不信任任何输入”的设计，并建立持续自动监控核心与插件 CVE、快速更新的流程。
延伸阅读
- 术语表：什么是 SQL 注入 / 什么是 RCE（远程代码执行） / 什么是 CVE
- 实践：CVE 修复手册（机制化监控并快速更新）
- 所有提醒：漏洞提醒
来源与范围
以下主要参考资料支持上文讨论的设置、范围或修复内容；链接于 2026 年 10 月 23 日检查。请参考其中的版本和配置条件。检查清单的优先级和经验教训是本站的指导意见，并非对全文的完整复核，也不构成安全保证。