摘要

2026 年 7 月,WordPress 核心被公开披露一条完整的认证前攻击链,被命名为 wp2shell。它由两个互相独立的核心缺陷串联而成:

  • CVE-2026-63030:/wp-json/batch/v1