近期，WordPress核心组件被曝存在高危漏洞，代号为“wp2shell”。该漏洞允许未经身份验证的远程攻击者在目标站点上执行任意代码，且无需任何插件配合，属于典型的“零点击”漏洞。
事件背景与影响范围
本次漏洞由Assetnote的安全研究员Adam Kues发现，并已通过HackerOne平台提交。受影响的版本范围为WordPress 6.9.0至6.9.4，以及7.0.0至7.0.1。官方已于2026年7月17日发布了修复版本6.9.5和7.0.2。
从我们的应急响应经验来看，由于WordPress在全球拥有极其庞大的装机量，此类核心漏洞往往会成为攻击者重点关注的“靶点”。尽管官方此次启用了强制自动更新机制，但对于关闭了自动更新功能或处于复杂网络环境下的企业站点，依然存在被利用的风险。
技术手法与攻击链解析
根据官方披露的修复信息，该漏洞涉及REST API的批处理路由（batch-route）混淆以及SQL注入问题，最终导致远程代码执行。
在实际攻击场景中，攻击者可以构造特定的HTTP请求，利用REST API的批处理端点触发逻辑漏洞。这一环节是很多企业容易忽视的，因为REST API往往被视为基础功能，缺乏细粒度的访问控制。此外，由于该漏洞不依赖于任何第三方插件，即使是“纯净安装”的WordPress站点也难逃波及。
为什么这次漏洞需要警惕
值得注意的是，该漏洞目前尚未分配CVE编号，这意味着传统的基于CVE漏洞扫描器可能无法及时识别相关风险。类似攻击近年来明显增加，攻击者利用开源项目的补丁发布周期与用户更新滞后之间的时间差，进行“竞速攻击”。
虽然目前暂未发现大规模的利用尝试，但基于以往WordPress生态中出现的漏洞挖掘与利用速度，攻击者完全有能力通过对比补丁前后的代码差异（Diff），快速逆向出攻击载荷。
Solar安全建议与应急方案
考虑到补丁更新的紧迫性，Solar应急响应团队建议广大用户采取以下措施：
第一，立即核查版本。不要盲目依赖“自动更新”提示，请登录后台或通过命令行确认当前运行的WordPress版本，确保已升级至6.9.5或7.0.2及以上。
第二，临时缓解措施。若暂时无法进行版本更新，建议在WAF（Web应用防火墙）层面配置拦截规则，封禁所有对 /wp-json/batch/v1 以及 rest_route=/batch/v1 的请求。请注意，仅封禁路径是不够的，必须同时覆盖查询字符串路径，否则仍会被绕过。
第三，加固REST API。在非必要情况下，可考虑通过插件或代码逻辑关闭未经身份验证的REST API访问，减少暴露面。
从我们的应急响应经验来看，漏洞披露后的前48小时是攻防博弈的黄金窗口期。对于企业用户而言，建立资产清点能力，确保在核心组件发布安全更新时能第一时间完成适配，是抵御此类漏洞的最有效防线。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com