WordPress 6.8–7.0 紧急升级：两项 CVE 已进 KEV，公开 wp2shell 证据止于 SQLi

1 先按维护分支升级，再讨论 wp2shell

处置答案可以先写进工单：WordPress 6.8.0–6.8.5 升至 6.8.6，6.9.0–6.9.4 升至 6.9.5，7.0.0–7.0.1 升至 7.0.2。6.8 只进入 CVE-2026-60137 的官方范围；6.9 与 7.0 同时进入 CVE-2026-60137 和 CVE-2026-63030 的范围，也是 WordPress 明确给出组合 RCE 结论的两条分支。CISA 已在 7 月 21 日把两项 CVE 加入 KEV：CVE-2026-63030 的 dueDate 为 7 月 24 日，更新本文时已经逾期；CVE-2026-60137 的 dueDate 为 8 月 4 日。受影响站点需要完整维护发行版或可审计的供应商等价回移。

WordPress 在 2026 年 7 月 17 日同时发布三条修复线，并为受影响版本启用强制自动更新。这里的“启用”描述更新系统开始采取动作；每个站点是否下载、写盘、切换运行实例和更新回滚源，仍需资产方逐项证明。受 CISA 要求约束的组织应把已过的 7 月 24 日日期作为立即升级、记录逾期例外并启动暴露窗口调查的触发点；其他组织也应把 KEV 当作已知利用的外部优先级信号。7.1 预发布资产的公开固定点是 beta2，生产关闭目标应使用正式维护发行版。早于 6.8 的版本位于这两项公告范围之外，其支持状态和其他已知漏洞需要另行处置。

KEV 当前回答的是“两项漏洞均存在已知利用”。两项 CISA ADP 在 7 月 21 日都把 SSVC exploitation 记为 active：CVE-2026-60137 是 Automatable=no、Technical Impact=total，CVE-2026-63030 是 Automatable=yes、Technical Impact=total；7 月 17 日的 none 只保留为状态转折前的历史记录。公开技术复现单独记录：历史固定模板支持匿名定时型盲 SQL 注入可达性，当前模板只检测路由混淆行为，公共记录没有一份可复放的 SQL 注入、持久化到 RCE 完整成功 transcript。版本、制品和运行态验收承担修复关闭，两代检测器分别承担补充调查。

2 一条匿名请求怎样走到 SQL 边界

这条链可以先用六步讲明白，再回到源码细节。历史固定 PR #16596 模板与固定源码共同覆盖到第六步的 SQL 注入前半段；7 月 24 日替换后的当前 #16658 模板在更早的路由混淆行为处停止，不发送 SQL 条件，也不使用 timing。第六步之后的数据库到代码执行路径由 WordPress 官方组合结论承担，当前采用的公共记录没有独立验证其完整实现。

1. 批处理入口接收有序子请求。匿名客户端把多个 REST 操作放进 /batch/v1。服务器分别保存原始请求、路由匹配结果和验证结果，后面继续用同一个位置索引把三者配在一起。

2. 一个准备阶段错误让两列长度不同。受影响的 serve_batch_request_v1() 只把早期 WP_Error 写入 $validation，$matches 的对应位置为空。从这个点开始，同一个数字索引可能从两列取到属于不同子请求的状态。

3. 嵌套子请求又重开顶层服务周期。批次已经处于 dispatch() 内部，受影响的集成入口和服务器入口仍可进入顶层服务路径。内部项目因而跨过原本拥有它的分派上下文，路由匹配、参数注册和后续请求之间的关系出现第二次混淆。

4. 公共参数换到 posts controller 的查询语境。ProjectDiscovery 历史 PR #16596 的公开布局把携带 author_exclude 的 categories 请求放在嵌套批次中，并利用前两项状态冲突让该值抵达 posts controller。固定 7.0.1 源码显示，posts controller 在第 239–270 行把公共 author_exclude 映射到内部 author__not_in。

5. 查询层让标量绕开逐项整数化。2025 年进入 6.8.0 的缓存键整理只规范化数组；标量一直保留原文本，到连接 SQL 名单时才被包装成单元素数组。容器改变发生得太晚，无法补回已经跳过的元素转换。

6. 历史公共检测器在这里观察到盲注条件。固定 PR #16596 模板使用结构相同的假条件与真条件请求，要求 HTTP 207、特定错误标记和真条件组至少七秒的响应时间。完整 flow 命中支持匿名定时型盲 SQL 注入可达性；模板不抽取数据，也不执行后续代码。7 月 22 日的多起漏报报告记录第三个 SQLi 请求在部分条件下没有执行，历史阴性因此只记录该次 flow 没有满足。ProjectDiscovery 于 7 月 24 日用 route-confusion 模板替换了这条 flow。

这六步同时解释两个版本边界。查询形状回归首先进入 6.8.0，所以 6.8.0–6.8.5 单独需要 CVE-2026-60137 修补；REST 批次相关变化首先进入 6.9.0，两个官方范围从 6.9 开始重叠。6.8.6 的固定树包含两处额外 REST 回移，说明维护者把代码带进了这条分支；WordPress 仍把 6.8 排除在 CVE-2026-63030 的公告范围之外。源码状态与公告范围回答不同问题，处置记录应分别保存。

2.1 位置数组与服务周期共同保存请求身份

批处理的索引承担关联键的职责。后续循环遍历原始请求，并用 $i 同时读取 $matches[$i] 与 $validation[$i]。一个错误子请求已经在准备阶段结束，它仍须在两列都占据同一位置；否则第 i 个匹配结果和第 i 个验证结果就不再描述同一个请求。固定代码把同一个错误对象写入两列，保留响应成员数量，也保留每个错误或空占位与原请求的关系。

require-all-validate 提供了正常行为对照：当批次选择全量验证并出现错误时，WordPress 为每个位置返回错误或 null，后续成员保持原位。验收因此要检查响应数量和位置归属。简单拒绝所有含错误的批次可能隐藏错位，同时破坏合法协议语义；“请求没有崩溃”只记录运行存活，关联关系需要位置对照单独证明。

dispatch 守卫处理另一层所有权。rest_api_loaded() 是 WordPress 顶层 REST 集成入口，serve_request() 是服务器服务入口，dispatch() 处理已经构造好的内部请求。固定版本在前两处检查 is_dispatching()：内部 dispatch 活跃时，集成入口提前结束，服务器入口返回 false。合法子请求继续留在当前 dispatch，顶层常量、服务器初始化、响应输出和终止流程保持原有单次周期。

2.2 查询修补把所有实际处理的形状汇入整数名单

CVE-2026-60137 的回归来自一次有正当目标的缓存键整理。WordPress changeset 59766、Git 提交 c22e267ccae50b45e9ae6e4b1e55ce68c408f842 在 2025 年 2 月进入 trunk，随后随 6.8.0 发布。它对数组形式的 author__not_in 去重、逐项执行 absint、排序并写回查询变量，让成员相同而顺序不同的输入共享稳定缓存语义。标量绕过 is_array() 分支，到 implode() 前才经 (array) 包装，原文本没有经历相同的整数转换。

6.7.2 是有效的历史负控制。旧实现先把输入变成数组，再对每个成员取绝对整数，标量和数组共享一条元素处理路径；6.8.0 已包含形状分支，提交祖先关系也与公告下限吻合。相邻的 author__in 路径仍对每种输入形状逐项整数化，进一步把问题限定在 author__not_in 的分支处理。文档把参数写作 int[]，核心运行时同时接受并处理标量，最靠近 SQL 的边界因而需要统一约束每种被处理的形状。

固定实现保留外层 ! empty() 门，再把进入分支的字符串或数组交给 wp_parse_id_list()。字符串按逗号或空白拆分，数组只保留标量成员，每个成员经 absint 转成整数，然后去重。解析结果非空时，WP_Query 才排序、构造作者排除条件并写回规范化查询状态；解析为空时，条件和写回都不产生。

这里存在两种空路径。空字符串、字符串 0、整数 0 和空数组在外层门前结束，没有调用列表解析器；纯空白字符串或只含非标量成员的非空数组可以进入分支，随后解析为空。固定代码保留 WordPress 的兼容转换语义：普通非数字标量可能变成整数 0，负数变成非负整数。验收目标是原始非数字文本不再进入 SQL 名单、等价列表形成稳定状态，同时合法作者过滤结果保持一致；把所有异常值都预期为请求错误，会测量一个固定版本并未承诺的接口。

3 已知利用、官方 RCE、公开 SQLi 与未验证尾链分层记录

3.1 历史模板固定 SQLi 前半链，当前模板只报告路由混淆

WordPress 仓库公告对 6.9.0–6.9.4 与 7.0.0–7.0.1 给出的产品结论很明确：CVE-2026-63030 的 REST API 批处理路由混淆与 CVE-2026-60137 的 author__not_in SQL 注入组合后导致远程代码执行。维护者公告确立产品结果，固定修复源码确立三项恢复的程序性质；两类证据共同决定升级优先级和验收对象。

Searchlight Cyber 把所发现结果命名为 wp2shell，报告它可由匿名用户在默认、无插件、无其他前置条件的 WordPress 安装上触发，并在披露窗口暂缓细节。Cloudflare 的协调说明把自己描述的匿名路径限定在 WordPress 6.9 及以上、未使用持久对象缓存的部署。WordPress 默认对象缓存只在单次请求内有效，默认无插件安装通常没有额外的持久实现，因此两份环境描述可以落在同一种站点形态上。缓存状态用于解释披露适用性；升级目标继续由官方版本范围决定。

ProjectDiscovery 在 7 月 18 日合并 PR #16596。固定在 9e6cb912c9d4df492b68ac0ecf8c333e2357de06 的历史模板同时引用两项 CVE，并记录易受影响与已修复目标的验证。它先识别 WordPress，再对 POST /?rest_route=/batch/v1 发送结构相同的假条件与真条件组：假条件步骤要求 HTTP 207 与 parse_path_failed，真条件步骤还要求 JSON 与至少七秒响应。模板没有设置假条件的最大时长，也没有计算两次请求的时长差。它的阳性证据等级是“经提交者验证的匿名定时型盲 SQL 注入检测”；SOSEC 没有重新运行该历史模板，上游验证继续归于 ProjectDiscovery 与提交者。

7 月 22 日，贡献者在 PR #16596 和 issue #16629 报告三请求模板出现多起 false negative，并描述第三个 SQLi 请求在部分条件下没有执行。7 月 24 日，ProjectDiscovery 以 PR #16658 的 head 5d14aeb15ba2ba90ebcffa97723b63150658a97d 把 timing/SLEEP SQLi flow 替换为确定性的 route-confusion 探针；贡献者报告新版本已在开发环境和此前漏报的在线目标上得到预期结果，issue #16629 随替换以 completed 关闭。更新本文时固定的 main ref 是 d51e9a38ae587ccdf7a75fe6aa0e11c81e7d7972，其中模板是两请求 flow。

当前模板先用 GET 响应中的 WordPress 标记作为内部前置门，再发送一个不含 SQL 参数的批处理 POST。阳性同时要求 HTTP 207、JSON、正文包含 block_cannot_read，并排除固定路由返回的 rest_term_invalid；模板元数据明确写明无 SQL execution、无 timing oracle。当前阳性只支持该布局下的 route-confusion 行为，当前阴性只说明指纹、请求执行与四个 matcher 没有共同满足。历史三请求阳性支持 SQL 注入可达性，历史阴性另受 issue #16629 记录的漏报限制。响应记录要分别保存：历史模板的 author_exclude、三次响应与时长、第三请求执行状态；当前模板的 GET 前置结果、批处理原始响应和四项 matcher。数据提取、代码执行和站点失陷各自需要新增证据。

3.2 公共尾链实现仍停在代码主张

公共提交 98716c82d2fe9b84ff15e5f6e7aa90d30927d602 描述了继续利用时间观测恢复值、重用 WordPress 状态、尝试创建管理员并上传和激活插件的后续实现。固定源码可以确认这些函数和控制流意图；仓库没有附带成功 transcript 或 CI 结果，SOSEC 没有执行该实现，当前采用记录也没有独立复现。它的证据等级是“具体、可审阅、未验证的尾链实现”，不能成为生产 IOC，也不能充当完整 wp2shell 的独立成功记录。

修复优先级保持最高：CISA 已把两项漏洞列为已知利用，产品维护者给出组合 RCE 结论，历史 ProjectDiscovery 阳性 flow 把公开可复核链推进到匿名盲 SQL 注入，当前 flow 提供更窄的 route-confusion 行为信号。防守动作先确认资产落入哪个官方版本范围，再安装对应分支的固定发行版；两代扫描器未命中都保持未决。事件调查保留精确层级：边缘请求表示扫描或尝试；当前模板阳性表示路由混淆行为；历史完整定时 flow 表示 SQL 注入可达性；服务器实际执行非预期代码才进入 RCE；未经授权的数据访问、执行或控制才进入失陷处置。各层都以实际记录为准。

CISA 状态在四天内发生了明确转折。两项 CVE 的 SSVC 容器在 7 月 17 日较晚时刻把 exploitation 记为 none，只代表当时的历史分析。7 月 18 日，BleepingComputer 转述 watchTowr 的 Benjamin Harris 所称“最初迹象”；报道没有公开遥测、IOC、受害者、请求分类或成功结果，该项观察保持未分类。7 月 21 日，CISA raw catalog 把两项 CVE 加入 KEV；60137 的更新 ADP 记录 Exploitation=active、Automatable=no、Technical Impact=total，63030 记录 Exploitation=active、Automatable=yes、Technical Impact=total。本文采用的 KEV raw catalog 版本是 2026.07.24，发布时间是 2026-07-24T17:40:56.0086Z。当前防守状态是“两项均已知利用”，CISA dueDate 分别为 63030 的 7 月 24 日和 60137 的 8 月 4 日。

KEV 条目与两份 active ADP 确立每项 CVE 的已知利用状态和政府处置日期。公开技术可复现性单独记录：当前没有一份公开、成功、可复放的 SQL 注入到持久化再到 RCE 完整 transcript，也没有证据说明 KEV 纳入所依据的事件走完了哪一层。资产处置按 KEV 与官方版本范围立即推进；单个事件仍按扫描、路由混淆、SQL 注入可达性、RCE 与失陷五层证据分类。

4 修复要同时通过代码性质与运行态验收

4.1 分支决定要验证哪些性质

6.8 的验收对象是查询边界。用生产同源制品在隔离环境比较 6.8.5 与 6.8.6：普通整数数组、数字标量、非数字占位、重复和乱序列表应汇入同一整数语义；原始非数字文本从查询状态和 SQL 名单消失；合法作者过滤结果保持一致；外层空值与进入分支后解析为空的路径都不生成排除条件或对应写回。6.8.6 中两处额外 REST 变化属于固定树事实，验收记录继续按公告范围把 6.8 只归入 CVE-2026-60137。

6.9 与 7.0 还要验证批次位置和 dispatch 所有权。进程内夹具让一个准备阶段错误位于可区分的正常成员之前，固定构建应保持原响应数量，并让每个错误、空占位和正常结果留在自己的位置；若测试能观察内部状态，$matches 与 $validation 对同一项目应有相同索引。另一组对照在内部 dispatch 活跃时调用顶层集成入口与服务器入口，固定构建分别提前结束和返回 false；dispatch 空闲时的普通服务路径继续工作。

历史固定模板 9e6cb912c9d4df492b68ac0ecf8c333e2357de06 只能作为隔离、明确授权环境中的 SQLi 前半链比较。受影响的 6.9.4 或 7.0.1 基线预期命中完整三请求 flow，6.9.5 或 7.0.2 预期不命中；阳性支持测试布局下的定时型盲 SQL 注入可达性。7 月 22 日的 false-negative 记录约束历史阴性：保存三组原始请求与响应、两次条件观测时长、第三请求是否真正执行、目标制品、Nuclei 与模板版本、模板摘要、操作者、时间和网络条件后，阴性仍只是一轮未匹配。

当前模板应固定在 d51e9a38ae587ccdf7a75fe6aa0e11c81e7d7972 单独比较 route-confusion 行为。受影响基线预期通过 WordPress GET 前置门，并在批处理 POST 中同时得到 HTTP 207、JSON、block_cannot_read 和缺少 rest_term_invalid；固定基线预期不满足完整 matcher 集。当前阳性只支持路由混淆行为，当前阴性只是一轮不匹配；SQLi 层仍需历史模板阳性或其他直接证据。保存 GET 与 POST 的完整响应、四项 matcher、目标制品、Nuclei 与模板 ref、操作者、时间和网络条件。SOSEC 尚未执行本地回归或两代主动模板，本文给出的两套验收设计都保持“未执行”；任何外部资产都须先取得明确授权。

代码性质测试通过只说明被测制品满足所选性质。生产关闭还需要把同一制品送到每个真实服务单元，移除受影响副本、扩容模板和回滚镜像。当前模板阳性进入路由混淆调查，历史模板阳性进入 SQLi 调查；两种阴性都保留模板身份与运行条件，并停在一次未匹配。修复结论来自固定制品与运行态验收，影响范围来自官方版本记录。版本、代码性质、部署覆盖和两代模板证据应分别记录，最后在同一资产行上汇合。

4.2 完整发行版、实际服务单元和回滚源要指向同一身份

三条维护线以不同版本控制对象交付修复。7.0 使用三个独立分支回移，6.9 与 6.8 使用成组回移，固定标签又各有独立尖端。站点操作者应取得完整维护发行版；下游发行商若重写提交身份，需要给出基础分支、上游修补到本地源码的映射、构建身份和支持路径。手工复制一处显眼差异会丢失同组修补、分支上下文和以后可追溯的发布来源。

资产记录应把源码或标签身份、取得的包或镜像、部署编号和运行实例分开。后台版本字符串帮助初步定位；每个节点实际加载的代码还要由运行证据说明。不可变镜像环境列出所有活跃副本及镜像摘要；传统 PHP 或 PHP-FPM 环境先检查发布切换、worker 生命周期、预加载与 OPcache 时间戳策略，再执行实际需要的失效、重载或重启。通过条件是每个能接请求的单元都绑定固定制品，未知或受影响单元已经离开服务池。

缓存一词在这里至少指三种对象。WordPress 对象缓存保存应用对象与查询结果；PHP OPcache 保存编译代码和可能的预加载状态；CDN 缓存保存边缘响应。三层分别处置，清理结果只对本层成立。对象缓存状态用于解释 Cloudflare 的部署条件，OPcache 策略用于判断新文件何时进入运行态，CDN 清理用于内容交付；漏洞关闭依赖固定核心制品和真实服务单元。

发布可以从隔离副本进入金丝雀，再进入全部服务池。每波绑定同一摘要或不可变镜像，记录计划与实际实例、开始与结束时间、业务回归、REST 行为、查询结果、应用错误、回滚目标和批准人。某波失败时停止扩大，保留已经验证为固定且兼容的回滚目标。旧快照若需作为证据保存，应隔离并标成不可部署；自动伸缩、灾备和托管面板恢复源全部更新后，固定版本才能延伸到下一次扩容或恢复。

5 用一份台账完成有限、可撤销的关闭

5.1 第一小时、升级、调查和撤除共用同一资产行

站点级台账应成为唯一权威工作面。它把第一小时范围判断、临时控制、制品部署、运行验收、事件调查、例外与最终撤除排成一个顺序，同时保留两个结论：已知软件条件是否退出生产，以及既定证据源是否支持利用或失陷。自动更新通知、WAF 仪表盘、后台版本页和单个节点截图都可以成为附件；任何一个附件都不单独把资产推进到“关闭”。

5.2 软件修复与失陷调查分别收口

软件修复线在以下事实同时成立时关闭：资产位于正确的固定分支，可信制品覆盖每个请求服务单元，适用代码性质与业务行为通过验收，旧制品无法从回滚、扩容或灾备路径返回，临时规则已经按计划撤除。扫描量下降、WAF 零命中、后台显示新版本或任一模板单次阴性都只是局部观察。issue #16629 记录历史三请求模板的漏报，7 月 24 日因 PR #16658 的 route-confusion 替换而关闭；上游检测流程由此更新，站点仍须完成版本、制品和运行态验收。供应商等价回移也可以关闭软件线，但它必须提供可审计的来源与构建身份。

事件调查线根据既有数据范围独立关闭。KEV 与两份 active ADP 支持“两项 CVE 存在已知利用”的总体判断；边缘访问与 WAF 动作支持具体资产上的扫描或尝试；当前 #16658 阳性支持该请求布局下的路由混淆行为；历史 #16596 完整阳性 flow 支持盲 SQL 注入可达性；服务器实际执行非预期代码支持 RCE；未经授权的数据访问、执行或控制支持失陷。两代模板阴性都停在“一次未匹配”，历史阴性还带有已记录的漏报边界，暴露窗口保持原范围。关闭语句要写清模板世代、复核的数据源、时间窗和缺失点。

WordPress 在 7 月 17 日交付的三处修补最终恢复了三项朴素规则：错误子请求在并行状态中保持原位置，内部子请求留在拥有它的 dispatch 周期，进入作者排除 SQL 名单的值先成为整数。6.8.6 需要确认第三项；6.9.5 与 7.0.2 需要确认三项。60137 的 active/no/total、63030 的 active/yes/total ADP 与 KEV 决定当前利用状态和处置时限，WordPress 组合 RCE 决定产品后果，当前 #16658 阳性决定路由混淆层，历史 #16596 阳性决定公开 SQLi 前半链，issue #16629 只限定历史阴性，未验证尾链限定具体事件结论。对应动作是按期或逾期升级、验证运行制品、按模板世代扩大到正确调查层、保留两种阴性未决，并用有限措辞结束具体事件。