IT之家 8 月 16 日消息，WordPress 近日发布 7.0.3 安全更新，修复了一项存在于核心登录页面中的高风险跨站脚本漏洞“XSS2Shell”，该漏洞编号为 CVE-2026-64638，目前已遭黑客大规模利用，遍布全球 67 个国家地区超 1.1 万个网站受影响。
IT之家参考通报获悉，“XSS2Shell”漏洞存在于 WordPress 登录流程。当用户使用不存在的账号名称尝试登录时，WordPress 会将输入内容带入错误提示信息。由于前后两道 HTML 过滤机制对异常标签的解析方式存在差异，原本应该被过滤掉的恶意内容可能被保留下来，并被浏览器解析为有效的 HTML 元素，从而形成跨站脚本攻击。
不过，仅利用这一漏洞并不能直接控制服务器。攻击者还需要进一步利用 WordPress 登录页面现有的 JavaScript、REST API，以及浏览器允许同一网站来源页面相互访问的机制，在受害网站的域名下执行由攻击者控制的操作。
如果受害者当时已经以管理员身份登录，攻击者便可能借用其现有登录状态执行管理操作，例如获取 WordPress 应用程序密码，并利用该权限创建包含恶意 JavaScript 的页面。随后，攻击者还可以继续利用管理员的登录状态上传包含 PHP 代码的恶意插件，最终在服务器上执行代码。因此，CVE-2026-64638 的完整攻击链仍需要结合社会工程学钓鱼手段，诱导已经登录且拥有足够权限的用户访问或操作恶意内容，才能进一步从登录页面的跨站脚本漏洞扩大至服务器端代码执行。
WordPress 表示，“XSS2Shell”影响所有版本的产品，目前其已发布更新修复该漏洞，使用 7.0 系列的用户应尽快升级至 7.0.3。网站管理员除了确认生产环境已经完成更新，也应检查系统是否出现异常管理员账号、应用程序密码或插件安装记录，以排查潜在的入侵活动。