WordPress 核心爆出未認證 RCE 漏洞鏈（CVE-2026-60137 + CVE-2026-63030）：你該立刻做的事

7 月 17 日，WordPress 安全團隊緊急推送核心更新。

修了兩個漏洞。第一個是 SQL 注入，CVSS 7.5，已經夠嚴重。但第二個一旦接上去，整條鏈直接變成未認證的遠端程式碼執行，CVSS 9.8。

白話講：攻擊者不需要帳號密碼，就能在你的伺服器上跑任意程式。

你的 WordPress 如果還停在 6.8 到 7.0.1，現在就該去後台確認更新狀態。

兩個 CVE 分別在幹嘛

CVE-2026-60137 — SQL 注入（CVSS 7.5）

問題出在 author__not_in 這個 WP_Query 參數。本來是用來排除特定作者的文章，但 WordPress 核心沒有做好跳脫，也沒用 prepared statement。

攻擊者可以在這個參數裡塞 SQL 語句，從資料庫撈出帳號、密碼雜湊值、整個 wp_options 表。

影響範圍是 6.8 到 7.0.1。還在用 6.8 的站也會中。

CVE-2026-63030 — 遠端程式碼執行（CVSS 9.8）

這個藏在 REST API 的批次請求端點 /wp-json/batch/v1。

正常流程是 REST API 收到請求、驗證、派發給對應的 callback。但批次端點在處理多個子請求的時候，驗證階段看到的路由跟實際派發的路由可以不一致。

攻擊者利用這個落差，讓通過驗證的子請求被派到完全不同的 callback，繞過 allow_batch 限制，而且可以控制參數、跳過輸入消毒。

這個漏洞影響 6.9 到 7.0.1。6.8 不受影響，批次端點是 6.9 才加的。

串起來為什麼更危險

SQL 注入能讀資料但不能直接跑程式。RCE 需要搭配其他手段才能完整利用。

兩個接在一起：先用 SQL 注入從資料庫拿到 nonce 和內部路由設定，再用這些資訊搭配批次端點的路由混淆，把攻擊者控制的參數送進不該被呼叫的 callback。

從零到在伺服器上跑任意程式碼。不需要帳號、不需要使用者互動，寫個腳本就能批次掃全網打。

你該做的事

確認版本

登入後台，看右下角或到「儀表板 → 更新」。版本號是 6.8.6、6.9.5 或 7.0.2 以上就安全了。不是的話，立刻更新。

用 WP-CLI 查更快：

wp core version

不要只靠自動更新

WordPress 確實已經啟動自動更新推送。但自動更新會失敗的情境比你想的多：

• 主機商鎖了檔案寫入權限
• 有外掛擋住了 auto_update_core filter
• wp-config.php 裡把自動更新關掉了
• WP-Cron 沒正常跑

有不只一個站的話，每個都登入確認。

Wordfence 使用者注意時間差

Premium、Care、Response 用戶 7/17 當天就拿到防護規則了。

Wordfence Free 要等到 8/16。

免費版這 30 天的空窗期只能靠核心更新擋。不要拖。