क्या ठीक किया गया?

WordPress ने 17 जुलाई 2026 को अपने कोर के लिए संस्करण 6.9.5 और 7.0.2 जारी किए। ये आपातकालीन सुरक्षा अपडेट हैं। इस खामी की खोज और जिम्मेदारीपूर्वक खुलासा Assetnote (जो Searchlight Cyber का हिस्सा है) के Adam Kues ने किया। इसकी गंभीरता को देखते हुए, WordPress टीम ने सभी प्रभावित साइटों के लिए फ़ोर्स्ड ऑटोमैटिक अपडेट सक्षम कर दिया है।

पहचानकर्ता (Identifiers)

wp2shell अटैक एक साथ दो कमजोरियों का फायदा उठाता है :

• CVE-2026-63030 — REST API के बैच-एंडपॉइंट में रूट कन्फ़्यूज़न की समस्या। इसे क्रिटिकल रेटिंग दी गई है, जिसका CVSS स्कोर 9.8 है। (शुरुआत में कुछ रिपोर्ट्स में 7.5 बताया गया था, लेकिन बाद में इसे बढ़ाकर 9.8 कर दिया गया।)
• CVE-2026-60137 — WP_Query के author__not_in पैरामीटर में बिना प्रमाणीकरण के SQL इंजेक्शन। इसे हाई सीवियरिटी रेटिंग दी गई है।

प्रभावित संस्करण

• WordPress 6.9.x: संस्करण 6.9.0 से 6.9.4 तक के सभी वर्जन।
• WordPress 7.0.x: संस्करण 7.0.0 और 7.0.1।
• पुरानी ब्रांच 6.8.x: इसके लिए 6.8.6 वर्जन जारी किया गया है।

तकनीकी विवरण

wp2shell हमला दो बगों की एक श्रृंखला है :

1. CVE-2026-60137: यह एक SQL इंजेक्शन है जिसे हैक करने के लिए लॉगिन की ज़रूरत नहीं है। हैकर author__not_in पैरामीटर में एक खास HTTP रिक्वेस्ट भेजकर, बिना कोई पासवर्ड डाले, WordPress डेटाबेस में मैलिशियस SQL कोड इंजेक्ट कर सकता है।

2. CVE-2026-63030: यह REST API के बैच एंडपॉइंट (/wp-json/batch/v1) में एक रूट कन्फ़्यूज़न (रास्ते में भ्रम) की खामी है। यह एंडपॉइंट एक साथ कई सब-रिक्वेस्ट को प्रोसेस करता है। एक पार्सिंग गड़बड़ी के कारण दो इंटरनल एरेज़ (सूचियाँ) अपने क्रम से बाहर हो जाती हैं, जिससे हैकर रूट प्रतिबंधों को बायपास करके उन इंटरनल API कॉल्स को चेन कर सकता है जो सामान्य रूप से प्रतिबंधित हैं।

जब इन दोनों को जोड़ा जाता है, तो हैकर:

• बैच एंडपॉइंट के ज़रिए SQL इंजेक्शन का दुरुपयोग करने के लिए नेस्टेड रिक्वेस्ट भेजता है।
• और फिर इसे पूर्ण रिमोट कोड एक्ज़ीक्यूशन (RCE) तक बढ़ा देता है। यह या तो MySQL के INTO OUTFILE कमांड के ज़रिए सिस्टम में मनमाना डेटा (जैसे PHP का एक वेबशेल) लिखकर करता है, या फिर WordPress के उन ऑप्शंस में हेरफेर करके जो PHP कोड को एक्ज़ीक्यूट करते हैं।

इस हमले के लिए कोई प्रमाणीकरण (लॉगिन), कोई प्लगइन, या कोई विशेष कॉन्फ़िगरेशन की आवश्यकता नहीं है। यह एक डिफ़ॉल्ट WordPress इंस्टॉलेशन पर भी काम करता है। 18 जुलाई 2026 तक, एक सार्वजनिक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) चेकर wp2shell.com पर जारी कर दिया गया है, और एक काम करने वाला PoC एक्सप्लॉइट भी प्रसारित हो रहा है।

एक महत्वपूर्ण बात: एक परसिस्टेंट ऑब्जेक्ट कैश (जैसे Redis या Memcached) का उपयोग करने से एक्सप्लॉइट का रास्ता आंशिक रूप से बदल सकता है, लेकिन यह अंतर्निहित खामी को पूरी तरह से खत्म नहीं करता है।

बचाव के उपाय (Mitigation Steps)

1. तुरंत अपडेट करें — अपनी WordPress साइट को वर्जन 6.9.5, 7.0.2, या 6.8.6 पर अपग्रेड करें। अधिकांश साइटों पर जहाँ ऑटो-अपडेट चालू है, वहाँ फ़ोर्स्ड अपडेट पहले ही लागू हो चुका होना चाहिए।
2. अपना वर्जन जाँचें — डैशबोर्ड → अपडेट्स पर जाएँ या wp-includes/version.php फ़ाइल चेक करें।
3. यदि तुरंत अपडेट नहीं कर सकते, तो वर्चुअल पैच या WAF (वेब एप्लिकेशन फ़ायरवॉल) नियम लागू करें। Cloudflare ने विशेष रूप से wp2shell अटैक वेक्टर को ब्लॉक करने के लिए WAF नियम जारी किए हैं।
4. समझौता होने के संकेतों (Indicators of Compromise) की जाँच करें — wp-content/uploads/ में अनजानी फ़ाइलें, अपरिचित एडमिन यूज़र, या असामान्य डेटाबेस एंट्रीज़ की तलाश करें। हालाँकि बड़े पैमाने पर शोषण की पुष्टि नहीं हुई है, लेकिन सार्वजनिक PoC का मतलब है कि स्कैनिंग शुरू हो गई है।
5. डेटाबेस यूज़र के विशेषाधिकारों की समीक्षा करें — सुनिश्चित करें कि WordPress डेटाबेस यूज़र के पास FILE प्रिविलेज नहीं है (जो INTO OUTFILE को सक्षम करता है)। इससे RCE के खतरे को सीमित किया जा सकता है।

ओपन-सोर्स होने के कारण WordPress के लिए तीव्र जोखिम क्यों?

भले ही अभी तक किसी बड़े हमले की पुष्टि नहीं हुई है, लेकिन WordPress के ओपन-सोर्स होने के कारण wp2shell के लिए एक अलग और गंभीर जोखिम पैदा हो गया है:

• हैकर्स के लिए स्रोत कोड की पूर्ण पारदर्शिता — चूँकि WordPress ओपन-सोर्स है, कोई भी पैच किए गए वर्जन को डाउनलोड कर सकता है, उसकी तुलना पुराने वर्जन से कर सकता है, और पैच जारी होने के कुछ ही घंटों में एक्सप्लॉइट का सटीक रास्ता खोज सकता है। सुरक्षा विक्रेताओं ने पुष्टि की है कि सोर्स-कोड डिफ़िंग तुरंत कमजोर कोड को उजागर कर देती है।
• बचावकर्ताओं के लिए बहुत कम समय — मालिकाना (प्रोपरायटरी) सॉफ़्टवेयर के विपरीत, जहाँ एक्सप्लॉइट विकसित करने के लिए स्वतंत्र शोध की आवश्यकता होती है, ओपन-सोर्स पैच प्रभावी रूप से खामी का विवरण प्रकाशित कर देता है। बचावकर्ताओं को कुछ दिनों में नहीं, बल्कि कुछ घंटों में वैश्विक स्तर पर पैच लगाना होता है।
• विशाल और विविध हमले की सतह — WordPress दुनिया भर की लगभग 43% वेबसाइटों को संचालित करता है। लाखों इंस्टॉलेशन अलग-अलग सुरक्षा जागरूकता वाले लोगों द्वारा चलाए जाते हैं। कई साइटों की उपेक्षा की जाती है, वे पुराने PHP वर्जन पर चलती हैं, या उनमें ऑटोमैटिक अपडेट नहीं होते हैं। एक बार एक्सप्लॉइट कोड सार्वजनिक हो जाने के बाद ये आसान लक्ष्य बन जाती हैं।
• हथियार बनाने की कम बाधा — PoC चेकर और एक्सप्लॉइट कोड पैच के 24 घंटों के भीतर प्रकाशित कर दिए गए। कोई भी मध्यम कौशल वाला हैकर इस सार्वजनिक कोड को बड़े पैमाने पर स्कैन करने वाले हथियार में बदल सकता है।
• कोई प्रमाणीकरण बाधा नहीं — पूरी चेन बिना लॉगिन के और एक सामान्य WordPress के खिलाफ काम करती है। हैकर को मान्य क्रेडेंशियल, कोई कमजोर प्लगइन, या किसी विशेष कॉन्फ़िगरेशन की आवश्यकता नहीं है। इससे खामी को बड़े पैमाने पर हथियार बनाने के लिए आवश्यक प्रयास काफी कम हो जाता है।

संक्षेप में, ओपन-सोर्स मॉडल का मतलब है कि पैच स्वयं एक विस्तृत खुलासा दस्तावेज़ बन जाता है, और विशाल, अलग-अलग गुणवत्ता वाला इंस्टॉल बेस कमजोर लक्ष्यों की एक लंबी श्रृंखला की गारंटी देता है। इससे कोई भी "आधिकारिक" शोषण देखे जाने से पहले ही एक उच्च जोखिम वाली अवधि बन जाती है।

क्या ठीक किया गया?

WordPress ने 17 जुलाई 2026 को अपने कोर के लिए संस्करण 6.9.5 और 7.0.2 जारी किए। ये आपातकालीन सुरक्षा अपडेट हैं। इस खामी की खोज और जिम्मेदारीपूर्वक खुलासा Assetnote (जो Searchlight Cyber का हिस्सा है) के Adam Kues ने किया। इसकी गंभीरता को देखते हुए, WordPress टीम ने सभी प्रभावित साइटों के लिए फ़ोर्स्ड ऑटोमैटिक अपडेट सक्षम कर दिया है।

पहचानकर्ता (Identifiers)

wp2shell अटैक एक साथ दो कमजोरियों का फायदा उठाता है :

• CVE-2026-63030 — REST API के बैच-एंडपॉइंट में रूट कन्फ़्यूज़न की समस्या। इसे क्रिटिकल रेटिंग दी गई है, जिसका CVSS स्कोर 9.8 है। (शुरुआत में कुछ रिपोर्ट्स में 7.5 बताया गया था, लेकिन बाद में इसे बढ़ाकर 9.8 कर दिया गया।)
• CVE-2026-60137 — WP_Query के author__not_in पैरामीटर में बिना प्रमाणीकरण के SQL इंजेक्शन। इसे हाई सीवियरिटी रेटिंग दी गई है।

प्रभावित संस्करण

• WordPress 6.9.x: संस्करण 6.9.0 से 6.9.4 तक के सभी वर्जन।
• WordPress 7.0.x: संस्करण 7.0.0 और 7.0.1।
• पुरानी ब्रांच 6.8.x: इसके लिए 6.8.6 वर्जन जारी किया गया है।

तकनीकी विवरण

wp2shell हमला दो बगों की एक श्रृंखला है :

1. CVE-2026-60137: यह एक SQL इंजेक्शन है जिसे हैक करने के लिए लॉगिन की ज़रूरत नहीं है। हैकर author__not_in पैरामीटर में एक खास HTTP रिक्वेस्ट भेजकर, बिना कोई पासवर्ड डाले, WordPress डेटाबेस में मैलिशियस SQL कोड इंजेक्ट कर सकता है।

2. CVE-2026-63030: यह REST API के बैच एंडपॉइंट (/wp-json/batch/v1) में एक रूट कन्फ़्यूज़न (रास्ते में भ्रम) की खामी है। यह एंडपॉइंट एक साथ कई सब-रिक्वेस्ट को प्रोसेस करता है। एक पार्सिंग गड़बड़ी के कारण दो इंटरनल एरेज़ (सूचियाँ) अपने क्रम से बाहर हो जाती हैं, जिससे हैकर रूट प्रतिबंधों को बायपास करके उन इंटरनल API कॉल्स को चेन कर सकता है जो सामान्य रूप से प्रतिबंधित हैं।

जब इन दोनों को जोड़ा जाता है, तो हैकर:

• बैच एंडपॉइंट के ज़रिए SQL इंजेक्शन का दुरुपयोग करने के लिए नेस्टेड रिक्वेस्ट भेजता है।
• और फिर इसे पूर्ण रिमोट कोड एक्ज़ीक्यूशन (RCE) तक बढ़ा देता है। यह या तो MySQL के INTO OUTFILE कमांड के ज़रिए सिस्टम में मनमाना डेटा (जैसे PHP का एक वेबशेल) लिखकर करता है, या फिर WordPress के उन ऑप्शंस में हेरफेर करके जो PHP कोड को एक्ज़ीक्यूट करते हैं।

इस हमले के लिए कोई प्रमाणीकरण (लॉगिन), कोई प्लगइन, या कोई विशेष कॉन्फ़िगरेशन की आवश्यकता नहीं है। यह एक डिफ़ॉल्ट WordPress इंस्टॉलेशन पर भी काम करता है। 18 जुलाई 2026 तक, एक सार्वजनिक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) चेकर wp2shell.com पर जारी कर दिया गया है, और एक काम करने वाला PoC एक्सप्लॉइट भी प्रसारित हो रहा है।

एक महत्वपूर्ण बात: एक परसिस्टेंट ऑब्जेक्ट कैश (जैसे Redis या Memcached) का उपयोग करने से एक्सप्लॉइट का रास्ता आंशिक रूप से बदल सकता है, लेकिन यह अंतर्निहित खामी को पूरी तरह से खत्म नहीं करता है।

बचाव के उपाय (Mitigation Steps)

1. तुरंत अपडेट करें — अपनी WordPress साइट को वर्जन 6.9.5, 7.0.2, या 6.8.6 पर अपग्रेड करें। अधिकांश साइटों पर जहाँ ऑटो-अपडेट चालू है, वहाँ फ़ोर्स्ड अपडेट पहले ही लागू हो चुका होना चाहिए।
2. अपना वर्जन जाँचें — डैशबोर्ड → अपडेट्स पर जाएँ या wp-includes/version.php फ़ाइल चेक करें।
3. यदि तुरंत अपडेट नहीं कर सकते, तो वर्चुअल पैच या WAF (वेब एप्लिकेशन फ़ायरवॉल) नियम लागू करें। Cloudflare ने विशेष रूप से wp2shell अटैक वेक्टर को ब्लॉक करने के लिए WAF नियम जारी किए हैं।
4. समझौता होने के संकेतों (Indicators of Compromise) की जाँच करें — wp-content/uploads/ में अनजानी फ़ाइलें, अपरिचित एडमिन यूज़र, या असामान्य डेटाबेस एंट्रीज़ की तलाश करें। हालाँकि बड़े पैमाने पर शोषण की पुष्टि नहीं हुई है, लेकिन सार्वजनिक PoC का मतलब है कि स्कैनिंग शुरू हो गई है।
5. डेटाबेस यूज़र के विशेषाधिकारों की समीक्षा करें — सुनिश्चित करें कि WordPress डेटाबेस यूज़र के पास FILE प्रिविलेज नहीं है (जो INTO OUTFILE को सक्षम करता है)। इससे RCE के खतरे को सीमित किया जा सकता है।

ओपन-सोर्स होने के कारण WordPress के लिए तीव्र जोखिम क्यों?

भले ही अभी तक किसी बड़े हमले की पुष्टि नहीं हुई है, लेकिन WordPress के ओपन-सोर्स होने के कारण wp2shell के लिए एक अलग और गंभीर जोखिम पैदा हो गया है:

• हैकर्स के लिए स्रोत कोड की पूर्ण पारदर्शिता — चूँकि WordPress ओपन-सोर्स है, कोई भी पैच किए गए वर्जन को डाउनलोड कर सकता है, उसकी तुलना पुराने वर्जन से कर सकता है, और पैच जारी होने के कुछ ही घंटों में एक्सप्लॉइट का सटीक रास्ता खोज सकता है। सुरक्षा विक्रेताओं ने पुष्टि की है कि सोर्स-कोड डिफ़िंग तुरंत कमजोर कोड को उजागर कर देती है।
• बचावकर्ताओं के लिए बहुत कम समय — मालिकाना (प्रोपरायटरी) सॉफ़्टवेयर के विपरीत, जहाँ एक्सप्लॉइट विकसित करने के लिए स्वतंत्र शोध की आवश्यकता होती है, ओपन-सोर्स पैच प्रभावी रूप से खामी का विवरण प्रकाशित कर देता है। बचावकर्ताओं को कुछ दिनों में नहीं, बल्कि कुछ घंटों में वैश्विक स्तर पर पैच लगाना होता है।
• विशाल और विविध हमले की सतह — WordPress दुनिया भर की लगभग 43% वेबसाइटों को संचालित करता है। लाखों इंस्टॉलेशन अलग-अलग सुरक्षा जागरूकता वाले लोगों द्वारा चलाए जाते हैं। कई साइटों की उपेक्षा की जाती है, वे पुराने PHP वर्जन पर चलती हैं, या उनमें ऑटोमैटिक अपडेट नहीं होते हैं। एक बार एक्सप्लॉइट कोड सार्वजनिक हो जाने के बाद ये आसान लक्ष्य बन जाती हैं।
• हथियार बनाने की कम बाधा — PoC चेकर और एक्सप्लॉइट कोड पैच के 24 घंटों के भीतर प्रकाशित कर दिए गए। कोई भी मध्यम कौशल वाला हैकर इस सार्वजनिक कोड को बड़े पैमाने पर स्कैन करने वाले हथियार में बदल सकता है।
• कोई प्रमाणीकरण बाधा नहीं — पूरी चेन बिना लॉगिन के और एक सामान्य WordPress के खिलाफ काम करती है। हैकर को मान्य क्रेडेंशियल, कोई कमजोर प्लगइन, या किसी विशेष कॉन्फ़िगरेशन की आवश्यकता नहीं है। इससे खामी को बड़े पैमाने पर हथियार बनाने के लिए आवश्यक प्रयास काफी कम हो जाता है।

संक्षेप में, ओपन-सोर्स मॉडल का मतलब है कि पैच स्वयं एक विस्तृत खुलासा दस्तावेज़ बन जाता है, और विशाल, अलग-अलग गुणवत्ता वाला इंस्टॉल बेस कमजोर लक्ष्यों की एक लंबी श्रृंखला की गारंटी देता है। इससे कोई भी "आधिकारिक" शोषण देखे जाने से पहले ही एक उच्च जोखिम वाली अवधि बन जाती है।