wp2shell: מה צריך לדעת על פגיעות ה-RCE הקריטית ב-WordPress

המשמעות המעשית: תוקף אינו זקוק לחשבון, לסיסמה, לתוסף פגיע או לתצורה מיוחדת כדי לנסות להשתלט על אתר שלא עודכן.

מה תוקן בעדכון החירום?

WordPress פרסמה את גרסאות 6.9.5 ו-7.0.2 ב-17 ביולי 2026. עבור ענף 6.8 שוחרר תיקון לאחור — 6.8.6 .

החולשה התגלתה ודווחה באחריות על ידי אדם קואס (Adam Kues) מ-Assetnote, חברה מקבוצת Searchlight Cyber . בשל חומרת הסיכון, צוות WordPress.org הפעיל עדכונים אוטומטיים כפויים לאתרים שמריצים גרסאות מושפעות .

מזהי החולשות

wp2shell אינה חולשה יחידה, אלא שרשרת המשלבת שתי חולשות :

• CVE-2026-63030 — בעיית בלבול נתיבים (route confusion) בנקודת הקצה של REST API Batch. החולשה סווגה כקריטית, עם ציון CVSS של 9.8 לפי דיווחים שעודכנו לאחר הציון הראשוני 7.5 .
• CVE-2026-60137 — חולשת SQL Injection לא מאומתת בפרמטר author__not_in של WP_Query. היא מוגדרת כחולשה בדרגת חומרה גבוהה .

השילוב בין שתי החולשות הוא שמאפשר להסלים מהזרקת שאילתות למסד הנתונים להרצת קוד על השרת.

אילו גרסאות WordPress חשופות?

• WordPress 6.9.x — כל הגרסאות שלפני 6.9.5, כלומר 6.9.0 עד 6.9.4.
• WordPress 7.0.x — כל הגרסאות שלפני 7.0.2, כלומר 7.0.0 ו-7.0.1.
• ענף 6.8.x — קיבל תיקון בגרסה 6.8.6 .

איך שרשרת התקיפה עובדת?

ברמה הטכנית, ההתקפה מתבססת על שני שלבים:

1. CVE-2026-60137 — הזרקת SQL ללא אימות: תוקף שולח בקשות HTTP שנבנו במיוחד אל הפרמטר author__not_in. כך ניתן להחדיר שאילתות זדוניות למסד הנתונים של WordPress גם ללא התחברות.

2. CVE-2026-63030 — בלבול בנתיב ה-Batch של ה-REST API: נקודת הקצה /wp-json/batch/v1 מאפשרת לעבד כמה בקשות פנימיות בקריאה אחת. פגם באופן שבו הבקשות מפוענחות עלול להוציא מערכים פנימיים מסנכרון, לעקוף מגבלות נתיבים ולאפשר שרשור של קריאות API שבדרך כלל חסומות .

כאשר שתי החולשות נשרשרות יחד, תוקף יכול להשתמש בנקודת הקצה של ה-Batch כדי להפעיל את ה-SQL Injection, ולאחר מכן להגיע ל-הרצת קוד מרחוק מלאה. בין נתיבי ההסלמה האפשריים שדווחו:

• כתיבת מידע שרירותי, למשל Webshell מסוג PHP, למערכת הקבצים באמצעות פקודת MySQL INTO OUTFILE.
• שינוי אפשרויות (Options) של WordPress שמובילות להרצת PHP .

השרשרת אינה דורשת אימות, אינה תלויה בתוספים ופועלת נגד התקנת WordPress ברירת-מחדל . נכון ל-18 ביולי 2026, פורסם בודק ציבורי בכתובת wp2shell.com, וכן הופץ קוד הוכחת היתכנות (PoC) עובד . עם זאת, לא אושר ניצול המוני של החולשה בטבע.

חשוב לציין כי מטמון אובייקטים מתמשך, כגון Redis או Memcached, עשוי לשנות את נתיב הניצול או לצמצם חלק ממנו — אך אינו מתקן את החולשה הבסיסית .

מה מנהלי אתרים צריכים לעשות עכשיו?

1. לעדכן מיד: יש לשדרג ל-WordPress 6.9.5, 7.0.2 או 6.8.6. באתרים שתומכים בעדכונים אוטומטיים ייתכן שהעדכון הכפוי כבר הותקן, אך אין להסתמך על כך ללא בדיקה .
2. לוודא את מספר הגרסה: בלוח הבקרה יש להיכנס אל Dashboard → Updates, או לבדוק את הקובץ wp-includes/version.php.
3. להפעיל שכבת הגנה זמנית אם העדכון מתעכב: ניתן לפרוס תיקון וירטואלי או כלל WAF. Cloudflare הודיעה על כללי WAF ייעודיים שחוסמים את וקטור התקיפה, עבור אתרים שהתעבורה שלהם עוברת דרך השירות .
4. לחפש סימני חדירה: יש לבדוק קבצים לא מוכרים בתיקייה wp-content/uploads/, חשבונות מנהל חדשים או לא מוכרים ורשומות חריגות במסד הנתונים. הפרסום של PoC ציבורי מגדיל את הסבירות לסריקות אוטומטיות.
5. לבדוק הרשאות במסד הנתונים: יש לוודא שלמשתמש מסד הנתונים של WordPress אין הרשאת FILE, המאפשרת שימוש ב-INTO OUTFILE. צעד זה עשוי להגביל את נתיב ההסלמה ל-RCE, אך אינו מחליף עדכון.

מדוע הקוד הפתוח מגדיל את הסיכון?

העובדה ש-WordPress היא מערכת קוד פתוח אינה הופכת אותה לפגיעה מעצם טבעה, אך במקרה של wp2shell היא מקצרת משמעותית את הזמן העומד לרשות מנהלי האתרים.

• הקוד המתוקן מספק רמזים לתוקפים: כל אדם יכול להוריד את הגרסה המתוקנת, להשוות אותה לגרסה הפגיעה ולשחזר את נתיב הניצול המדויק בתוך זמן קצר. ספקיות אבטחה דיווחו שהשוואת הקוד חושפת את האזור הפגיע .
• חלון ההתגוננות קצר יותר: בעדכון של תוכנה קניינית, תוקף עשוי להידרש לבצע מחקר עצמאי. בפרויקט קוד פתוח, התיקון עצמו עשוי להפוך למסמך חשיפה טכני מפורט. לכן יש חשיבות לעדכון בתוך שעות, לא בתוך ימים.
• בסיס התקנות עצום ומגוון: WordPress מפעילה בערך 43% מכלל האתרים. מיליוני התקנות מנוהלות ברמות שונות של תחזוקה ואבטחה, וחלקן אינן מעודכנות או אינן מפעילות עדכונים אוטומטיים .
• הדרך להפוך את ה-PoC לכלי תקיפה קצרה: הבודק הציבורי וקוד הניצול פורסמו בתוך 24 שעות מהתיקון . הדבר עשוי לאפשר לתוקפים בעלי מיומנות בינונית להתאים את הקוד לסריקה רחבת היקף.
• אין מחסום של התחברות: מאחר שהשרשרת פועלת לפני שלב האימות ובהתקנת WordPress רגילה, אין צורך בגניבת פרטי משתמש או באיתור תוסף פגיע .

השורה התחתונה: במקרה של wp2shell, עצם פרסום התיקון מסייע להבין כיצד נראתה החולשה. יחד עם מספר גדול מאוד של אתרים, רמות תחזוקה לא אחידות והיעדר דרישת התחברות — נוצר חלון סיכון משמעותי גם ללא ראיות לניצול המוני. עבור כל אתר שמריץ גרסה מושפעת, הפעולה החשובה ביותר היא פשוטה: לעדכן, ואז לוודא שהעדכון אכן הושלם.