安恒信息CERT于2026年7月18日发布安全通告，披露了WordPress核心中存在一个严重的安全漏洞（CVE-2026-63030）。该漏洞允许未经身份认证的远程攻击者通过SQL注入实现远程代码执行（RCE），危害等级极高。目前，该漏洞的利用方式（POC）已被发现，且安恒研究院已成功复现。

漏洞核心信息

• 漏洞名称: WordPress REST API 批处理路由混淆与 SQL 注入远程代码执行漏洞
• CVE编号: CVE-2026-63030
• CVSS评分: 9.8 (严重)
• 漏洞评级: 1级
• 利用情况: POC已发现，漏洞已被成功复现，暂未发现在野利用。

漏洞详情

该漏洞源于WordPress REST API的批处理（Batch）功能中存在路由混淆问题，攻击者可以利用此缺陷构造恶意请求，在无需任何用户权限的情况下，对数据库进行SQL注入攻击，并最终在服务器上执行任意代码，从而完全控制网站。

• 影响版本:
  • WordPress 6.9.0 - 6.9.4
  • WordPress 7.0.0 - 7.0.1

修复与缓解方案

官方修复方案（强烈推荐）

请立即将您的WordPress站点升级至以下安全版本：

• 将 WordPress 7.0 分支升级至 7.0.2
• 将 WordPress 6.9 分支升级至 6.9.5
• 正在测试 WordPress 7.1 的环境应升级至 7.1 beta2

WordPress官方已对受影响版本启用强制自动更新。管理员也可登录后台，在“更新”页面手动执行升级。

临时缓解方案

如果无法立即升级，可采取以下临时措施进行防护，但请注意这可能影响部分正常业务功能：

1. WAF规则: 在Web应用防火墙（WAF）上配置规则，阻止匿名用户访问批处理API。需要同时阻断以下两种请求：
   • 请求路径：/wp-json/batch/v1
   • 查询参数：rest_route=/batch/v1
2. 安全插件: 安装并配置能够禁止匿名用户访问REST API的安全插件。