每日高危漏洞速报 2026-07-18（4 条）
每日高危漏洞速报 · 2026-07-18
共收录 4 条高价值漏洞（在野利用 [KEV]，或 CVSS ≥ 9.0 且影响广泛的企业与开源系统）。
态势综述
当日 4 条收录中有 2 条已确认在野利用（KEV），且同属 WordPress：REST API 批量端点路由混淆（CVE-2026-63030）与 WP_Query author__not_in SQL 注入（CVE-2026-60137）可被串联成完整攻击链，覆盖 6.8.x、6.9.x、7.0.x 多个分支，是今日最应优先处置的目标。VMware Avi Load Balancer 的认证绕过（CVE-2026-47865）评分 9.8，攻击者仅凭网络访问即可进入控制平面，对已暴露管理面的环境风险极高。setup-php GitHub Action 的问题则位于 CI 供应链环节，需留意构建流水线的间接暴露。建议运维、安全团队先排查 WordPress 与 Avi 控制平面的对外暴露面，并尽快完成升级。
今日收录
- CVE-2026-46420 —
9.8— setup-php 2.25.0 至 2.37.1 从仓库解析 PHP 版本存在缺陷，影响 CI 构建链路。 - CVE-2026-63030 —
9.8— WordPress 6.9.x/7.0.x REST API 批量端点路由混淆，可与 SQL 注入组合利用。 [KEV] - CVE-2026-47865 —
9.8— VMware Avi Load Balancer 认证绕过，具备网络访问者可进入 Avi 控制平面。 - CVE-2026-60137 —
5.9— WordPress 6.8.x 至 7.0.2 未净化 author__not_in，插件或主题传参可致 SQL 注入。 [KEV]