wp2shell: wat je moet weten over de kritieke RCE-kwetsbaarheid in WordPress

Wat is er precies gepatcht?

De beveiligingsreleases WordPress 6.9.5 en 7.0.2 verschenen op 17 juli 2026. Voor de oudere 6.8-tak is een backport uitgebracht in versie 6.8.6 .

wp2shell bestaat uit twee afzonderlijke kwetsbaarheden die samen een veel ernstiger effect hebben :

• CVE-2026-63030 — een routeverwarringsprobleem in het batch-endpoint van de REST API. De kwetsbaarheid is als kritiek beoordeeld; meerdere beveiligingspartijen noemen een CVSS-score van 9,8 . Een eerste rapport noemde nog 7,5.
• CVE-2026-60137 — een ongeauthenticeerde SQL-injectie in de parameter author__not_in van WP_Query. Deze fout heeft de classificatie hoog.

Welke versies zijn kwetsbaar?

De volgende versies moeten als kwetsbaar worden beschouwd:

• WordPress 6.9.x: versies 6.9.0 tot en met 6.9.4
• WordPress 7.0.x: versies 7.0.0 en 7.0.1
• WordPress 6.8.x: de kwetsbaarheid is verholpen in de backport 6.8.6

De veilige versies zijn dus 6.9.5, 7.0.2 en, voor de oudere branch, 6.8.6.

Hoe werkt de aanval?

De aanval combineert twee fouten in WordPress Core .

1. Via zorgvuldig samengestelde HTTP-verzoeken kan een aanvaller de parameter author__not_in misbruiken voor SQL-injectie. Daarvoor zijn geen account of andere inloggegevens nodig.
2. Het REST API-batch-endpoint /wp-json/batch/v1 verwerkt meerdere deelverzoeken binnen één aanvraag. Door een fout in de routeverwerking kunnen interne lijsten uit de pas lopen. Daardoor kan een aanvaller routebeperkingen omzeilen en API-aanroepen combineren die normaal niet toegestaan zijn .

In combinatie maken de twee fouten escalatie mogelijk van SQL-injectie naar volledige code-uitvoering op afstand. Dat kan bijvoorbeeld door gegevens naar het bestandssysteem te schrijven via MySQLs INTO OUTFILE, of door WordPress-opties te manipuleren die PHP uitvoeren .

De aanval vereist geen authenticatie, geen plugins en geen bijzondere configuratie. Een standaardinstallatie van WordPress kan daardoor al worden geraakt . Op 18 juli 2026 verscheen bovendien een openbare controletool op wp2shell.com en circuleerde er een werkende proof-of-concept-exploit .

Een persistente objectcache, zoals Redis of Memcached, kan het aanvalspad gedeeltelijk wijzigen of beperken. Dat neemt de onderliggende kwetsbaarheid echter niet weg .

Wat moet je nu doen?

1. Werk onmiddellijk bij. Installeer WordPress 6.9.5, 7.0.2 of 6.8.6, afhankelijk van de branch die je gebruikt. Websites met automatische updates zouden de geforceerde update meestal al hebben ontvangen .
2. Controleer de geïnstalleerde versie. Ga in het beheerpaneel naar Dashboard → Updates, of controleer de versie in wp-includes/version.php.
3. Gebruik tijdelijke bescherming als bijwerken niet direct lukt. Een virtuele patch of WAF-regel kan de blootstelling beperken. Cloudflare heeft specifieke WAF-regels voor deze aanvalsvector beschikbaar gesteld .
4. Controleer op sporen van misbruik. Let onder meer op onverwachte bestanden in wp-content/uploads/, onbekende beheerdersaccounts en vreemde databasegegevens. Er is geen grootschalige exploitatie bevestigd, maar de openbare PoC maakt geautomatiseerd scannen waarschijnlijk.
5. Beperk databaseprivileges. Controleer of de databasegebruiker van WordPress niet over het FILE-privilege beschikt. Daarmee kan het gebruik van INTO OUTFILE worden beperkt, al vervangt dit geen beveiligingsupdate.

Waarom open source het risico versnelt

Er is vooralsnog geen bevestigde grootschalige exploitatie in het wild. Toch is de situatie acuut. Bij open-source software kunnen aanvallers de gepatchte code naast de kwetsbare versie leggen en met een zogenaamde diff-analyse snel achterhalen wat er is veranderd. Beveiligingsonderzoekers bevestigden dat de kwetsbare code op die manier direct zichtbaar wordt .

Dat verkort de tijd die beheerders hebben om te reageren:

• De patch onthult veel informatie. De codewijziging kan aanwijzingen geven over het precieze aanvalspad.
• De doelgroep is enorm. WordPress draait volgens de aangeleverde analyses op ongeveer 43 procent van alle websites. Die installaties worden beheerd met sterk uiteenlopende beveiligingsniveaus; sommige zijn verouderd of hebben automatische updates uitgeschakeld .
• Weaponisering is laagdrempelig. De controletool en exploitcode verschenen binnen 24 uur na de patch . Daardoor kan een aanvaller relatief snel een scanner voor grote aantallen websites samenstellen.
• Er is geen authenticatiebarrière. De keten werkt vóór het inlogmoment op een standaardinstallatie. Er zijn geen geldige accounts, kwetsbare plugins of speciale instellingen nodig .

Kort gezegd: bij wp2shell werd de beveiligingsupdate zelf een gedetailleerde aanwijzing voor wie op zoek is naar nog niet bijgewerkte websites. Zolang organisaties hun WordPress-installaties niet hebben bijgewerkt, blijft er daarom een hoog risicovenster bestaan — ook als er nog geen officiële grootschalige exploitatie is vastgesteld.