wp2shell: всё, что нужно знать о критической RCE-уязвимости WordPress ядра

Что было исправлено

Версии 6.9.5 и 7.0.2 были выпущены 17 июля 2026 года для закрытия цепочки уязвимостей wp2shell. Ошибку обнаружил и ответственно раскрыл Адам Кьюс из Assetnote (входит в состав Searchlight Cyber) . Из-за серьёзности проблемы команда WordPress включила принудительные автоматические обновления для всех затронутых сайтов .

Идентификаторы

Атака wp2shell представляет собой цепочку из двух уязвимостей :

• CVE-2026-63030 — Путаница маршрутов в пакетной конечной точке REST API. Критический рейтинг, оценка CVSS — 9.8 . (Первоначально один источник указывал 7.5, но несколько вендоров безопасности пересмотрели оценку до 9.8 .)
• CVE-2026-60137 — SQL-инъекция без аутентификации в параметре author__not_in объекта WP_Query. Высокий уровень опасности .

Затронутые версии

• WordPress 6.9.x: все версии до 6.9.5 (6.9.0–6.9.4)
• WordPress 7.0.x: все версии до 7.0.2 (7.0.0 и 7.0.1)
• Ветка 6.8.x получила обратный порт исправления в версии 6.8.6

Технические детали

Атака wp2shell объединяет две ошибки :

1. CVE-2026-60137 — SQL-инъекция без аутентификации. Отправляя специально сформированные HTTP-запросы к параметру author__not_in, злоумышленник может внедрить вредоносный SQL-код в базу данных WordPress без каких-либо учётных данных.
2. CVE-2026-63030 — Путаница маршрутов в пакетной конечной точке REST API (/wp-json/batch/v1). Эта конечная точка обрабатывает несколько подзапросов в одном вызове. Из-за особенности парсинга два внутренних массива рассинхронизируются, что позволяет злоумышленнику обойти ограничения маршрутов и объединить внутренние вызовы API, которые обычно запрещены .

В комбинации атакующий использует пакетную конечную точку для вложенных запросов, которые злоупотребляют SQL-инъекцией. Это приводит к полному удалённому выполнению кода путём:

• Записи произвольных данных (например, PHP-оболочки) в файловую систему через MySQL-команду INTO OUTFILE;
• Или манипуляции опциями WordPress, выполняющими PHP-код .

Атака не требует аутентификации, не требует плагинов и работает на стандартной установке WordPress . По состоянию на 18 июля 2026 года был опубликован публичный чекер на сайте wp2shell.com, а рабочий PoC-эксплойт распространяется .

Важный нюанс: постоянный объектный кеш (например, Redis или Memcached) может частично смягчить или изменить путь эксплуатации, но не устраняет основную уязвимость .

Шаги по защите

1. Обновитесь немедленно — перейдите на WordPress 6.9.5, 7.0.2 или 6.8.6. Большинство сайтов с включёнными автообновлениями уже должны были получить принудительное обновление .
2. Проверьте версию — зайдите в Панель управления → Обновления или проверьте файл wp-includes/version.php.
3. Если обновиться сразу невозможно — разверните виртуальный патч или WAF-правило. Cloudflare выпустил WAF-правила, специально блокирующие вектор атаки wp2shell .
4. Проверьте признаки компрометации — ищите неожиданные файлы в wp-content/uploads/, незнакомых пользователей с правами администратора или необычные записи в базе данных. Массовой эксплуатации пока не подтверждено, но публичный PoC означает, что сканирование уже началось.
5. Проверьте привилегии пользователя базы данных — убедитесь, что пользователь базы данных WordPress не имеет привилегии FILE (которая включает INTO OUTFILE). Это ограничивает путь эскалации до RCE.

Почему открытый исходный код WordPress создаёт острую угрозу

Даже при отсутствии подтверждённой эксплуатации в дикой природе, модель открытого исходного кода порождает отчётливую и острую угрозу в случае с wp2shell:

• Полная прозрачность исходного кода для атакующих — поскольку WordPress имеет открытый исходный код, любой может скачать исправленные версии, сравнить код с уязвимым и восстановить точный путь эксплуатации в течение нескольких часов после выпуска патча. Вендоры безопасности подтвердили, что сравнение исходного кода немедленно раскрывает уязвимые участки .
• Сокращённое окно для защиты — в отличие от проприетарного ПО, где для разработки эксплойта требуется независимое исследование уязвимости, патч с открытым исходным кодом фактически публикует детали уязвимости. Защитники должны патчить глобально в течение часов, а не дней.
• Огромная и разнородная поверхность атаки — WordPress работает примерно на 43% всех веб-сайтов. Миллионы установок поддерживаются операторами с разным уровнем безопасности. Многие сайты заброшены, работают на устаревших версиях PHP или не имеют автоматических обновлений, становясь лёгкими целями после публикации кода эксплойта .
• Низкий барьер для превращения в оружие — чекер PoC и код эксплойта были опубликованы в течение 24 часов после выпуска патча . Любой атакующий со средними навыками может адаптировать публичный код в массовый сканер.
• Отсутствие барьера аутентификации — вся цепочка не требует аутентификации и работает на стандартном WordPress. Атакующему не нужны действительные учётные данные, уязвимый плагин или особая конфигурация. Это резко снижает усилия, необходимые для массового превращения уязвимости в оружие .

Коротко говоря, модель открытого исходного кода означает, что сам патч становится подробным документом раскрытия, а огромная и разнородная установочная база гарантирует длинный хвост уязвимых целей — создавая период высокого риска ещё до того, как будет замечена "официальная" эксплуатация.