wp2shell: Todo lo que necesitas saber sobre la vulnerabilidad crítica de ejecución remota de código en WordPress

Identificadores

El ataque wp2shell es una cadena de dos vulnerabilidades :

• CVE-2026-63030 — Un problema de confusión de rutas en el endpoint por lotes de la API REST. Con calificación crítica y una puntuación CVSS de 9.8 . (Informes iniciales de una fuente indicaban 7.5, pero múltiples proveedores de seguridad la revisaron a 9.8 ).
• CVE-2026-60137 — Una inyección SQL sin autenticar en el parámetro author__not_in de WP_Query. Calificada como de alta gravedad .

Versiones afectadas

• WordPress 6.9.x: Todas las versiones anteriores a 6.9.5 (6.9.0 a 6.9.4)
• WordPress 7.0.x: Todas las versiones anteriores a 7.0.2 (7.0.0 y 7.0.1)
• La rama anterior 6.8.x recibió un backport a 6.8.6

Detalles técnicos

El ataque wp2shell encadena dos fallos :

1. CVE-2026-60137 es una inyección SQL sin autenticar. Al enviar solicitudes HTTP manipuladas al parámetro author__not_in, un atacante puede inyectar SQL malicioso en la base de datos de WordPress sin necesidad de credenciales de inicio de sesión.

2. CVE-2026-63030 es un fallo de confusión de rutas en el endpoint por lotes de la API REST (/wp-json/batch/v1). Este endpoint procesa múltiples sub-solicitudes en una sola llamada. Una peculiaridad en el análisis sintáctico provoca que dos arreglos internos se desincronicen, lo que permite a un atacante eludir las restricciones de ruta y encadenar llamadas internas a la API que normalmente estarían prohibidas .

Cuando se combinan, el atacante utiliza el endpoint por lotes para realizar solicitudes anidadas que abusan de la inyección SQL. Esto escala a ejecución remota de código completa al:

• Escribir datos arbitrarios (como un webshell PHP) en el sistema de archivos a través del comando INTO OUTFILE de MySQL, o
• Manipular las opciones de WordPress que ejecutan PHP .

El ataque no requiere autenticación, no requiere plugins y funciona en una instalación predeterminada de WordPress . A partir del 18 de julio de 2026, se lanzó un comprobador de prueba de concepto público en wp2shell.com, y un exploit PoC funcional está circulando .

Un matiz importante: una caché de objetos persistente (como Redis o Memcached) puede mitigar parcialmente o cambiar la ruta del exploit, pero no elimina la vulnerabilidad subyacente .

Pasos de mitigación

1. Actualiza inmediatamente — Actualiza a WordPress 6.9.5, 7.0.2 o 6.8.6. La mayoría de los sitios con actualizaciones automáticas habilitadas ya deberían haber recibido la actualización forzada .
2. Verifica tu versión — Ve a Escritorio → Actualizaciones o revisa wp-includes/version.php.
3. Si no puedes actualizar de inmediato, implementa un parche virtual o una regla WAF. Cloudflare lanzó reglas WAF que bloquean específicamente el vector de ataque wp2shell .
4. Busca indicadores de compromiso — Revisa si hay archivos inesperados en wp-content/uploads/, usuarios administradores desconocidos o entradas inusuales en la base de datos. Aunque no se ha confirmado una explotación masiva, el PoC público significa que el escaneo probablemente ya ha comenzado.
5. Revisa los privilegios del usuario de la base de datos — Asegúrate de que el usuario de la base de datos de WordPress no tenga el privilegio FILE (que habilita INTO OUTFILE). Esto limita el camino de escalada a RCE.

Por qué la naturaleza de código abierto de WordPress representa un riesgo agudo

Incluso sin explotación confirmada, el modelo de código abierto introdujo un riesgo distintivo y agudo para wp2shell:

• Transparencia total del código fuente para los atacantes — Dado que WordPress es de código abierto, cualquiera puede descargar las versiones parcheadas, comparar el código con las versiones vulnerables y realizar ingeniería inversa de la ruta exacta del exploit en cuestión de horas después del lanzamiento del parche. Los proveedores de seguridad confirmaron que la comparación de código fuente revela inmediatamente el código vulnerable .
• Ventana acortada para los defensores — A diferencia del software propietario, donde el desarrollo de exploits requiere investigación de vulnerabilidades independiente, un parche de código abierto publica efectivamente los detalles de la vulnerabilidad. Los defensores deben parchear globalmente en cuestión de horas, no de días.
• Superficie de ataque masiva y diversa — WordPress impulsa aproximadamente el 43% de todos los sitios web. Millones de instalaciones son gestionadas por operadores con una madurez de seguridad variable. Muchos sitios están descuidados, con versiones antiguas de PHP o sin actualizaciones automáticas, convirtiéndose en objetivos fáciles una vez que el código del exploit se hace público .
• Baja barrera para la weaponización — El comprobador PoC y el código del exploit se publicaron en las 24 horas posteriores al parche . Cualquier atacante con habilidades moderadas puede adaptar el código público en un arma de escaneo masivo.
• Sin barrera de autenticación — Toda la cadena es previa a la autenticación y funciona contra WordPress estándar. Un atacante no necesita credenciales válidas, un plugin vulnerable ni ninguna configuración especial. Esto reduce drásticamente el esfuerzo necesario para weaponizar la vulnerabilidad a gran escala .

En resumen, el modelo de código abierto significa que el propio parche se convierte en el documento de divulgación detallado, y la base de instalación masiva y de calidad variable garantiza una larga cola de objetivos vulnerables, creando un período de alto riesgo incluso antes de que se observe cualquier explotación "oficial".