wp2shell: WordPressin kriittinen RCE-haavoittuvuus vaati kiireellisen päivityksen

Haavoittuvuuden vakavuuden vuoksi WordPress.org otti käyttöön pakotetut automaattiset päivitykset vaikutuksen alaisille sivustoille . Päivityksen asentuminen kannattaa silti varmistaa itse, sillä kaikki palvelinympäristöt eivät välttämättä tue automaattipäivityksiä ongelmitta.

Haavoittuvuuksien tunnisteet

wp2shell ei ole yksi yksittäinen ohjelmointivirhe, vaan kahden haavoittuvuuden ketju :

• CVE-2026-63030 – WordPressin REST API:n eräajopisteen reittien sekoittumiseen liittyvä virhe. Haavoittuvuus on luokiteltu kriittiseksi, ja sen CVSS-pistemääräksi on ilmoitettu 9,8 . Yhdessä aiemmassa raportissa arvo oli aluksi 7,5, mutta useat tietoturvatoimijat tarkistivat arvion myöhemmin 9,8:aan .
• CVE-2026-60137 – kirjautumatta hyödynnettävä SQL-injektio WP_Query-kyselyn author__not_in-parametrissa. Se on luokiteltu vakavaksi haavoittuvuudeksi .

Mitkä WordPress-versiot ovat alttiita?

• WordPress 6.9.x: versiot 6.9.0–6.9.4
• WordPress 7.0.x: versiot 7.0.0–7.0.1
• WordPress 6.8.x: korjaus on saatavilla versiossa 6.8.6

Korjatut versiot ovat siis 6.9.5, 7.0.2 ja 6.8-haaran osalta 6.8.6.

Miten hyökkäys toimii?

Hyökkäys yhdistää kaksi toisistaan riippuvaa ongelmaa .

1. SQL-injektio: Hyökkääjä lähettää tarkasti muotoiltuja HTTP-pyyntöjä author__not_in-parametriin. Näin WordPressin tietokantakyselyyn voidaan yrittää lisätä haitallista SQL-koodia ilman kirjautumista.

2. REST API:n reittien sekoittuminen: WordPressin REST API:n eräajopiste, /wp-json/batch/v1, käsittelee useita alikutsuja yhdessä pyynnössä. Jäsentämiseen liittyvä virhe voi saada sisäiset taulukot poikkeamaan toisistaan, jolloin hyökkääjä voi ohittaa reittirajoituksia ja yhdistää API-kutsuja tavalla, jota ei normaalisti sallita .

Kun nämä ongelmat ketjutetaan, hyökkääjä voi käyttää eräajopistettä SQL-injektion väärinkäyttöön. Tämän jälkeen hyökkäys voi edetä täydelliseen etäkoodin suoritukseen esimerkiksi:

• kirjoittamalla tiedostojärjestelmään mielivaltaista sisältöä, kuten PHP-verkkokuoren, MySQL:n INTO OUTFILE -toiminnolla; tai
• muuttamalla WordPressin asetuksia tavalla, joka johtaa PHP-koodin suorittamiseen .

Hyökkäys ei vaadi lisäosia, tunnuksia tai erityistä kokoonpanoa, vaan kohdistuu myös oletusarvoiseen WordPress-asennukseen . Heinäkuun 18. päivään mennessä julkinen haavoittuvuustarkistin oli julkaistu osoitteessa wp2shell.com, ja toimivaa proof-of-concept-hyökkäyskoodia kiersi julkisuudessa .

Persistentti objektivälimuisti, kuten Redis tai Memcached, voi osassa ympäristöjä muuttaa hyökkäyspolkua tai rajoittaa sen etenemistä. Se ei kuitenkaan poista itse haavoittuvuutta .

Näin suojaat WordPress-sivustosi

1. Päivitä heti. Asenna WordPress 6.9.5, 7.0.2 tai 6.8.6. Jos automaattipäivitykset ovat käytössä, päivitys on voinut asentua jo taustalla .
2. Tarkista käytössä oleva versio. Avaa hallintapaneelissa kohta Päivitykset tai tarkista palvelimelta tiedosto wp-includes/version.php.
3. Käytä väliaikaista suojausta, jos päivitys viivästyy. Web Application Firewall eli WAF-verkkosovellusten palomuuri voi estää hyökkäysliikennettä. Cloudflare julkaisi wp2shelliin kohdistuvia WAF-sääntöjä .
4. Etsi mahdollisia murtojälkiä. Tarkista esimerkiksi odottamattomat tiedostot hakemistossa wp-content/uploads/, tuntemattomat ylläpitäjätilit ja poikkeavat tietokantamerkinnät. Laajamittaisesta hyväksikäytöstä ei ollut vahvistettua tietoa, mutta julkinen proof-of-concept madaltaa skannauksen kynnystä.
5. Tarkista tietokantakäyttäjän oikeudet. WordPressin tietokantakäyttäjällä ei pitäisi olla FILE-oikeutta, joka mahdollistaa INTO OUTFILE -toiminnon. Tämä voi rajoittaa RCE-hyökkäyksen etenemistä, vaikka se ei korvaa päivitystä.

Miksi avoin lähdekoodi lisää riskiä?

WordPressin avoimuus on monessa tilanteessa vahvuus: koodi on tarkasteltavissa ja korjaukset voidaan julkaista nopeasti. Tämän tapauksen yhteydessä se kuitenkin lyhentää puolustajien reagointiaikaa merkittävästi.

• Korjauksen vertaaminen vanhaan koodiin on helppoa. Hyökkääjä voi ladata korjatun version, verrata sitä haavoittuvaan versioon ja päätellä tarkan hyökkäyspolun jopa muutamassa tunnissa korjauksen julkaisusta. Tietoturvatoimijat vahvistivat, että lähdekoodin vertailu paljastaa haavoittuvan kohdan nopeasti .
• Korjaus toimii samalla teknisenä vihjeenä. Avoimen lähdekoodin ohjelmistossa päivityksen muutokset voivat käytännössä paljastaa, mitä on korjattu. Puolustajille tämä tarkoittaa tuntien, ei päivien, mittaista päivitysikkunaa.
• Kohteita on paljon ja niiden ylläpidon taso vaihtelee. WordPress käyttää arviolta noin 43 prosenttia kaikista verkkosivustoista. Osa asennuksista on vanhentuneita, automaattipäivitykset puuttuvat tai ylläpito on jäänyt vähälle huomiolle .
• Hyökkäysten automatisointi on suhteellisen helppoa. Julkinen tarkistin ja hyökkäyksen proof-of-concept-koodi julkaistiin 24 tunnin sisällä korjauksesta .
• Kirjautumista ei tarvita. Koska ketju toimii ennen tunnistautumista ja oletusasennuksessa, hyökkääjän ei tarvitse hankkia salasanoja, löytää haavoittuvaa lisäosaa tai odottaa käyttäjän napsauttavan mitään .

Toisin sanoen wp2shellin riski ei perustu vain haavoittuvuuden vakavuuteen. Avoin lähdekoodi, WordPressin valtava asennuskanta ja julkisuuteen tullut hyökkäystieto muodostavat yhdistelmän, jossa suojaamaton sivusto voi muuttua helpoksi kohteeksi nopeasti — vaikka aktiivisesta massahyökkäyksestä ei olisi vielä vahvistettua näyttöä.