這是針對已確認在野利用（列於 CISA KEV）之缺陷的防禦性公告。說明發生了什麼、哪些版本受影響，以及如何應對，不包含攻擊方法或概念驗證。
6.8 分支不受同一 RCE 鏈影響
官方公告將兩個 CVE 都列於 6.9/7.0，但 6.8 只列出 CVE-2026-60137。建議更新至 6.8.6 並不代表該分支受 CVE-2026-63030 影響。
- CVE
- CVE-2026-63030（路由混淆，CWE-436）+ 串連的 CVE-2026-60137（SQLi，CWE-89）
- 嚴重性
- 嚴重（CVSS 9.8）— 已在野利用（CISA KEV；修補期限為 2026-07-24）
- 類型
- REST API 路由混淆 × author__not_in SQL 注入 → 未經驗證的 SQLi → RCE
- 影響
- 未經驗證的 SQL 注入、遠端程式碼執行（RCE）、資料竊取
- 受影響
- 63030：受影響的 6.9.x / 7.0.x；6.8.x 只受 60137 影響
- 主要修補
- 更新至 6.8.6 / 6.9.5 / 7.0.2 或更新版本
無需驗證即可到達
REST API 路由混淆（CWE-436）
透過 author__not_in 的 SQL 注入
RCE 與資料竊取
修補：更新至 6.8.6 / 6.9.5 / 7.0.2 或更新版本
為何不修補很危險
由於 RCE 無需驗證即可觸及，公開的 WordPress 網站正遭受大規模自動化掃描。這是核心的缺陷，並非僅限於特定外掛，因此每個使用受影響版本的網站都可能在範圍之內。CISA 要求聯邦機構於 2026-07-24 前完成修補。「我們太小，不會成為目標」的想法並不成立。
受影響範圍
| 項目 | 說明 |
|---|---|
| 目標 | WordPress 核心 |
| 受影響版本 | 6.8.0–6.8.5（60137）/ 6.9.0–6.9.4 / 7.0.0–7.0.1 |
| 修補版本 | 6.8.6 / 6.9.5 / 7.0.2 及更新版本 |
| 前提條件 | 串連時無需驗證 |
| 可達成的影響 | SQL 注入 → 遠端程式碼執行（RCE）；資料竊取 |
| 狀態 | 兩者皆已在野利用（CISA KEV；修補期限為 2026-07-24） |
關於兩方嚴重性評分不同的說明
CVE-2026-60137 單獨來看的嚴重性因來源而異。WPScan 評為 CVSS 5.9（單獨而言，需要外掛或佈景主題將不受信任的輸入傳給 author__not_in，這是一項可觸及性的前提條件），CISA 則評為 9.1。與 CVE-2026-63030 的路由混淆結合後，它可直接透過 REST API 被觸及，實際上無需驗證即可利用（CVSS 9.8）。差異反映的是各方如何評估可觸及性的前提條件；應對方式相同，都是更新至修補版本。
如何應對
將核心更新至 6.8.6 / 6.9.5 / 7.0.2 以上（最優先）
進行入侵檢查（假設你在更新前已遭觸及）
在能更新之前的暫時防禦（縱深防禦）
以機器持續監控核心、外掛與佈景主題的 CVE
本站看法：將所有輸入視為不受信任
這個缺陷的本質，是不受信任的輸入經由非預期的路徑（路由混淆）進入查詢。SQL 注入可以透過始終使用佔位符（預備語句）來從設計上避免，並且無論輸入經過哪條路徑或假定了什麼前提，都始終進行消毒與驗證。立即更新是必要的，但長期真正有效的，是「不信任任何輸入」的設計，加上以機器持續監控核心與外掛 CVE 並快速更新的例行作業。
延伸閱讀
- 詞彙表：什麼是 SQL 注入 / 什麼是 RCE（遠端程式碼執行） / 什麼是 CVE
- 實務做法：CVE 修補手冊（以機器監控並快速更新）
- 所有警示：漏洞警示
來源與範圍
以下主要參考資料支持本文討論的設定、範圍或修補內容；連結已於 2026 年 10 月 23 日檢查。請參閱其版本與設定條件。檢查清單的優先順序與經驗教訓為本站的指引，並非完整的文章重新驗證，也不構成安全保證。