wp2shell: cosa sapere sulla vulnerabilità RCE critica di WordPress
Il 17 luglio 2026 WordPress ha rilasciato le versioni di sicurezza 6.9.5 e 7.0.2 per correggere wp2shell, una catena RCE critica sfruttabile senza autenticazione. La catena combina CVE 2026 63030, un problema nell’endpoint batch della REST API, e CVE 2026 60137, una SQL injection nel parametro author not in di WP Qu...
Pubblicato daModificato con DeepSeek-V4-FlashImmagini generate con GPT Image 1.5
Il 17 luglio 2026 WordPress ha rilasciato le versioni di sicurezza 6.9.5 e 7.0.2 per correggere wp2shell, una catena RCE critica sfruttabile senza autenticazione.
La catena combina CVE 2026 63030, un problema nell’endpoint batch della REST API, e CVE 2026 60137, una SQL injection nel parametro author not in di WP Query.
Sono interessate le versioni WordPress 6.9.0–6.9.4 e 7.0.0–7.0.1; il ramo 6.8.x è stato corretto con la versione 6.8.6.
Gli aggiornamenti automatici forzati sono stati attivati, ma è essenziale verificare manualmente che il sito sia stato effettivamente aggiornato.
Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what areConceptual representation of the wp2shell WordPress core vulnerability alert.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what are. Article summary: Here is the full fact-checked breakdown.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Il 17 luglio 2026 WordPress ha distribuito aggiornamenti di emergenza per correggere wp2shell, una catena di vulnerabilità nel core del CMS che può portare all’esecuzione di codice da remoto, o RCE (Remote Code Execution), senza che l’attaccante debba effettuare il login. Il problema è particolarmente delicato perché può colpire anche un’installazione WordPress predefinita, senza plugin o temi di terze parti .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "wp2shell: cosa sapere sulla vulnerabilità RCE critica di WordPress"?
Il 17 luglio 2026 WordPress ha rilasciato le versioni di sicurezza 6.9.5 e 7.0.2 per correggere wp2shell, una catena RCE critica sfruttabile senza autenticazione.
What are the key points to validate first?
Il 17 luglio 2026 WordPress ha rilasciato le versioni di sicurezza 6.9.5 e 7.0.2 per correggere wp2shell, una catena RCE critica sfruttabile senza autenticazione. La catena combina CVE 2026 63030, un problema nell’endpoint batch della REST API, e CVE 2026 60137, una SQL injection nel parametro author not in di WP Query.
What should I do next in practice?
Sono interessate le versioni WordPress 6.9.0–6.9.4 e 7.0.0–7.0.1; il ramo 6.8.x è stato corretto con la versione 6.8.6.
Le versioni correttive sono WordPress 6.9.5, 7.0.2 e, per il ramo precedente, 6.8.6. Per via della gravità, il team WordPress.org ha attivato gli aggiornamenti automatici forzati sui siti interessati .
Quali sono le vulnerabilità
Il nome wp2shell non identifica una singola falla, ma una catena composta da due problemi distinti :
CVE-2026-63030 — un problema di confusione delle route nell’endpoint batch della REST API, classificato come critico. Il punteggio CVSS iniziale riportato da una fonte era 7,5, mentre più operatori di sicurezza lo hanno successivamente indicato come 9,8.
CVE-2026-60137 — una SQL injection non autenticata nel parametro author__not_in di WP_Query, classificata ad alta gravità .
La vulnerabilità è stata individuata e divulgata responsabilmente da Adam Kues, ricercatore di Assetnote, società che fa parte di Searchlight Cyber.
Versioni di WordPress interessate
Sono vulnerabili:
WordPress 6.9.x: dalla 6.9.0 alla 6.9.4;
WordPress 7.0.x: la 7.0.0 e la 7.0.1.
Il ramo 6.8.x ha ricevuto una correzione retroportata nella versione 6.8.6. Chi utilizza una delle versioni interessate dovrebbe aggiornare senza aspettare il normale ciclo di manutenzione.
Come funziona wp2shell
La prima componente, CVE-2026-60137, consente di inviare richieste HTTP costruite ad hoc al parametro author__not_in e di inserire SQL malevolo nel database WordPress, senza credenziali valide.
La seconda, CVE-2026-63030, riguarda l’endpoint batch della REST API, raggiungibile all’indirizzo /wp-json/batch/v1. Questo endpoint è progettato per elaborare più sotto-richieste all’interno di un’unica chiamata. Un’anomalia nel modo in cui le richieste vengono analizzate può disallineare due strutture interne e permettere di aggirare alcune restrizioni sulle route, concatenando chiamate API che normalmente non sarebbero consentite .
Combinando le due falle, un aggressore può usare l’endpoint batch per raggiungere la SQL injection e trasformarla in esecuzione di codice da remoto. Tra i percorsi descritti figurano:
la scrittura di dati arbitrari nel file system, per esempio tramite il comando MySQL INTO OUTFILE, con la possibile creazione di una webshell PHP;
la manipolazione di opzioni WordPress capaci di portare all’esecuzione di PHP .
L’attacco non richiede autenticazione, plugin installati né configurazioni particolari: può funzionare su un’installazione WordPress standard . Al 18 luglio 2026 risultavano inoltre disponibili un verificatore pubblico su wp2shell.com e un exploit PoC funzionante in circolazione .
Una distinzione importante riguarda la cache persistente degli oggetti, per esempio Redis o Memcached: può modificare o ostacolare parzialmente il percorso di sfruttamento, ma non elimina la vulnerabilità sottostante.
Cosa fare subito
Aggiornare WordPress immediatamente. Installare la versione 6.9.5, 7.0.2 o 6.8.6, in base al ramo utilizzato. Chi ha gli aggiornamenti automatici attivi potrebbe aver già ricevuto la correzione, ma deve comunque verificarlo .
Controllare la versione installata. Nel pannello di amministrazione, aprire Bacheca → Aggiornamenti, oppure verificare il valore presente nel file wp-includes/version.php.
Applicare una protezione temporanea se l’aggiornamento non è possibile. È possibile ricorrere a una patch virtuale o a una regola WAF. Cloudflare ha pubblicato regole specifiche per bloccare il vettore di attacco wp2shell .
Cercare eventuali segnali di compromissione. Controllare file inattesi nella directory wp-content/uploads/, nuovi utenti amministratori, richieste anomale verso la REST API e voci insolite nel database. Non è stata confermata un’exploitation di massa, ma la disponibilità di un PoC pubblico rende plausibile l’avvio delle attività di scansione.
Ridurre i privilegi dell’utente del database. Verificare che l’account usato da WordPress non disponga del privilegio FILE, necessario per il percorso basato su INTO OUTFILE. Questa misura può limitare una delle possibili escalation verso la RCE, ma non sostituisce l’aggiornamento.
Perché l’open source aumenta il rischio in questo caso
Il fatto che WordPress sia open source non è di per sé un difetto di sicurezza: la trasparenza del codice permette anche revisioni indipendenti e controlli da parte della comunità. In questo caso, però, crea una finestra di rischio molto stretta dopo la pubblicazione della patch.
Chiunque può scaricare la versione corretta, confrontarla con quella vulnerabile e ricostruire rapidamente le modifiche che hanno chiuso la falla. Il confronto del codice può quindi rivelare il percorso di attacco in poche ore dalla pubblicazione dell’aggiornamento .
Il problema è amplificato da altri fattori:
Tempo ridotto per i difensori. La patch fornisce indirettamente molti dettagli tecnici, quindi gli amministratori devono aggiornare i siti nel giro di ore, non di giorni.
Base installata enorme e disomogenea. WordPress alimenta circa il 43% dei siti web. Le installazioni sono gestite con livelli di sicurezza molto diversi: alcune sono abbandonate, usano versioni obsolete di PHP o non ricevono aggiornamenti automatici .
Bassa soglia per la weaponization. Il verificatore PoC e il codice di exploit sono comparsi entro 24 ore dalla patch, rendendo più semplice adattarli a scansioni automatizzate su larga scala .
Assenza di una barriera di autenticazione. Non servono account validi, plugin vulnerabili o impostazioni speciali: basta una richiesta anonima verso un’installazione standard .
In altre parole, nel caso di wp2shell la patch diventa anche una guida per ricostruire il difetto. Per questo l’assenza di casi confermati di sfruttamento su larga scala non deve essere interpretata come un via libera: il rischio può aumentare rapidamente non appena il codice tecnico diventa pubblico.
