WordPress Core“wp2shell”高危漏洞遭利用：攻击者植入持久化 Webshell

据来源显示，安全社区近日披露，影响 WordPress Core 的“wp2shell”高危漏洞组合正在被黑客利用。该漏洞套件涉及 CVE-2026-63030 与 CVE-2026-60137，攻击者可在受影响服务器上部署持久化 Webshell，并安装恶意插件。来源发布时间为 2026 年 7 月 22 日，相关情况表明，漏洞已不再停留在理论风险阶段，而是进入了实际攻击利用场景。

对网站管理员而言，这类攻击的危险之处在于：Webshell 一旦落地，攻击者可能获得对服务器的持续访问能力；恶意插件则可能伪装成正常功能，帮助攻击者维持权限、执行后续操作或扩大影响。对于访问这些网站的普通用户，风险也不只是“网站被黑”本身，还可能涉及账号凭据、浏览行为、提交表单内容等隐私数据暴露。

事件核心：WordPress Core 漏洞被用于持久化入侵

WordPress 是全球广泛使用的网站系统，Core 层面的严重漏洞通常意味着影响面可能较大。此次被称为“wp2shell”的漏洞组合包含两个 CVE 编号，来源摘要明确指出，黑客正在利用这些漏洞在受影响服务器上安装 Webshell 与恶意插件。

Webshell 可以理解为攻击者留在服务器上的远程控制入口。与一次性入侵不同，持久化 Webshell 的目标是让攻击者在网站修复表面问题后仍能回来继续操作。恶意插件则更具隐蔽性，因为 WordPress 生态本身大量依赖插件，管理员如果不仔细审查文件来源、插件权限和异常行为，可能很难第一时间发现问题。

• 涉及对象：受影响的 WordPress Core 站点。
• 涉及漏洞：CVE-2026-63030 与 CVE-2026-60137。
• 已知利用方式：部署持久化 Webshell、安装恶意插件。
• 主要风险：服务器被长期控制，网站数据与用户隐私面临暴露。

对 VPN 用户与隐私保护的影响

从隐私安全角度看，被入侵的 WordPress 站点可能成为数据泄露、钓鱼跳转或恶意脚本投放的中转点。用户即便没有管理网站，只要访问了受影响站点并输入登录信息、邮箱、联系方式或支付相关信息，也可能面临额外风险。尤其是在公共 Wi-Fi、共享网络或跨境访问环境中，用户更应减少明文敏感操作，避免在不可信页面提交个人信息。

需要强调的是，VPN 并不能修复服务器端漏洞，也不能阻止一个已被攻陷的网站记录你主动提交的数据。但在网络访问层面，VPN 可以帮助降低本地网络窃听、运营商侧流量窥探以及公共网络中间人风险。对重视隐私的用户，可将 RedGate VPN 作为一种加密连接的可选方案，但仍应配合账号安全、站点可信度判断和浏览器防护措施。

站长与普通用户应如何应对

对于网站管理员，当前最重要的是把该事件视为正在发生的攻击风险，而非等待进一步扩散后再处理。应尽快核查 WordPress Core 状态、插件列表、主题文件和服务器目录中是否存在异常文件。若发现未知插件、可疑 PHP 文件或异常管理员账号，应立即隔离站点并进行完整清理。

普通用户则应关注近期是否访问过可疑 WordPress 站点，尤其是曾经在页面中输入账号密码或个人资料的情况。若不确定网站是否可信，应避免复用密码，并开启双因素认证。对于浏览器弹出的异常下载、跳转登录、插件安装提示，应保持警惕。

总体来看，“wp2shell”事件再次说明，内容管理系统的核心漏洞一旦被利用，影响会从服务器安全延伸到用户隐私。站长需要强化补丁、备份和入侵排查；用户则应减少在未知站点提交敏感信息，并通过加密连接、强密码和多因素认证降低连带风险。