wp2shell漏洞
wp2shell属于WordPress生态高危漏洞，多由主题、插件文件上传缺陷引发，攻击者利用漏洞上传包含后门代码的PHP脚本，实现webshell控制服务器。漏洞触发条件通常是上传接口未校验文件后缀、MIME类型校验可被绕过，允许上传脚本文件至网站目录。
成功利用后，攻击者可执行系统命令、读写网站源代码、窃取数据库信息，修改页面跳转逻辑，将访客引流至钓鱼虚假域名。大量被入侵的WordPress站点会被植入广告代码、挖矿程序，甚至搭建临时C2通道。
防护手段：及时更新WordPress核心程序、插件与主题；严格限制文件上传类型，后端双重校验；移除不必要上传功能；部署WAF拦截恶意上传行为。运维定期扫描网站目录，排查未知后门文件；一旦发现漏洞被利用，立刻清理webshell、修改账号密码，回溯日志排查是否存在数据泄露、域名解析被篡改等次生风险。
成功利用后，攻击者可执行系统命令、读写网站源代码、窃取数据库信息，修改页面跳转逻辑，将访客引流至钓鱼虚假域名。大量被入侵的WordPress站点会被植入广告代码、挖矿程序，甚至搭建临时C2通道。
防护手段：及时更新WordPress核心程序、插件与主题；严格限制文件上传类型，后端双重校验；移除不必要上传功能；部署WAF拦截恶意上传行为。运维定期扫描网站目录，排查未知后门文件；一旦发现漏洞被利用，立刻清理webshell、修改账号密码，回溯日志排查是否存在数据泄露、域名解析被篡改等次生风险。
近期安全厂商披露代号wp2shell的WordPress链式高危漏洞，包含CVE-2026-63030、CVE-2026-60137两个漏洞，攻击者无需账号密码，针对默认安装的WordPress6.9.x、7.0.x版本实现远程代码执行，全球超5亿WP站点面临沦陷风险。
时间：2026-07-20
闽公网安备 35021102000564号