wp2shell: всё, что нужно знать о критической RCE-уязвимости WordPress ядра
17 июля 2026 года WordPress выпустил экстренные обновления 6.9.5 и 7.0.2, закрывающие wp2shell — критическую цепочку уязвимостей, позволяющую удалённо выполнить код без аутентификации. Уязвимость состоит из двух компонентов: CVE 2026 63030 (путаница маршрутов в REST API) и CVE 2026 60137 (SQL инъекция без аутентифик...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
17 июля 2026 года WordPress выпустил экстренные обновления 6.9.5 и 7.0.2, закрывающие wp2shell — критическую цепочку уязвимостей, позволяющую удалённо выполнить код без аутентификации.
Уязвимость состоит из двух компонентов: CVE 2026 63030 (путаница маршрутов в REST API) и CVE 2026 60137 (SQL инъекция без аутентификации).
Атака не требует ни плагинов, ни специальной конфигурации — достаточно стандартной установки WordPress.
Разработчики включили принудительные автоматические обновления, но администраторам настоятельно рекомендуется проверить версию своих сайтов.
Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what areConceptual representation of the wp2shell WordPress core vulnerability alert.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what are. Article summary: Here is the full fact-checked breakdown.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
17 июля 2026 года WordPress выпустил экстренные обновления безопасности, закрывающие критическую цепочку уязвимостей под названием wp2shell — возможность удалённого выполнения кода (RCE) без аутентификации в ядре WordPress . В отличие от большинства уязвимостей WordPress, которые живут в сторонних плагинах или темах, wp2shell — это проблема самого ядра, работающая на стандартной установке без единого плагина . В этой статье мы разберём идентификаторы, затронутые версии, технические детали, шаги по защите и объясним, почему открытый исходный код WordPress создал уникально опасную ситуацию ещё до подтверждения массовой эксплуатации.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «wp2shell: всё, что нужно знать о критической RCE-уязвимости WordPress ядра»?
17 июля 2026 года WordPress выпустил экстренные обновления 6.9.5 и 7.0.2, закрывающие wp2shell — критическую цепочку уязвимостей, позволяющую удалённо выполнить код без аутентификации.
Какие ключевые моменты необходимо проверить в первую очередь?
17 июля 2026 года WordPress выпустил экстренные обновления 6.9.5 и 7.0.2, закрывающие wp2shell — критическую цепочку уязвимостей, позволяющую удалённо выполнить код без аутентификации. Уязвимость состоит из двух компонентов: CVE 2026 63030 (путаница маршрутов в REST API) и CVE 2026 60137 (SQL инъекция без аутентификации).
Что мне делать дальше на практике?
Атака не требует ни плагинов, ни специальной конфигурации — достаточно стандартной установки WordPress.
wp2shell: всё, что нужно знать о критической RCE-уязвимости WordPress ядра
17 июля 2026 года WordPress выпустил экстренные обновления 6.9.5 и 7.0.2, закрывающие wp2shell — критическую цепочку уязвимостей, позволяющую удалённо выполнить код без аутентификации. Уязвимость состоит из двух компонентов: CVE 2026 63030 (путаница маршрутов в REST API) и CVE 2026 60137 (SQL инъекция без аутентифик...
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
17 июля 2026 года WordPress выпустил экстренные обновления 6.9.5 и 7.0.2, закрывающие wp2shell — критическую цепочку уязвимостей, позволяющую удалённо выполнить код без аутентификации.
Уязвимость состоит из двух компонентов: CVE 2026 63030 (путаница маршрутов в REST API) и CVE 2026 60137 (SQL инъекция без аутентификации).
Атака не требует ни плагинов, ни специальной конфигурации — достаточно стандартной установки WordPress.
Разработчики включили принудительные автоматические обновления, но администраторам настоятельно рекомендуется проверить версию своих сайтов.
Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what areConceptual representation of the wp2shell WordPress core vulnerability alert.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what are. Article summary: Here is the full fact-checked breakdown.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
17 июля 2026 года WordPress выпустил экстренные обновления безопасности, закрывающие критическую цепочку уязвимостей под названием wp2shell — возможность удалённого выполнения кода (RCE) без аутентификации в ядре WordPress . В отличие от большинства уязвимостей WordPress, которые живут в сторонних плагинах или темах, wp2shell — это проблема самого ядра, работающая на стандартной установке без единого плагина . В этой статье мы разберём идентификаторы, затронутые версии, технические детали, шаги по защите и объясним, почему открытый исходный код WordPress создал уникально опасную ситуацию ещё до подтверждения массовой эксплуатации.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «wp2shell: всё, что нужно знать о критической RCE-уязвимости WordPress ядра»?
17 июля 2026 года WordPress выпустил экстренные обновления 6.9.5 и 7.0.2, закрывающие wp2shell — критическую цепочку уязвимостей, позволяющую удалённо выполнить код без аутентификации.
Какие ключевые моменты необходимо проверить в первую очередь?
17 июля 2026 года WordPress выпустил экстренные обновления 6.9.5 и 7.0.2, закрывающие wp2shell — критическую цепочку уязвимостей, позволяющую удалённо выполнить код без аутентификации. Уязвимость состоит из двух компонентов: CVE 2026 63030 (путаница маршрутов в REST API) и CVE 2026 60137 (SQL инъекция без аутентификации).
Что мне делать дальше на практике?
Атака не требует ни плагинов, ни специальной конфигурации — достаточно стандартной установки WordPress.
Версии 6.9.5 и 7.0.2 были выпущены 17 июля 2026 года для закрытия цепочки уязвимостей wp2shell. Ошибку обнаружил и ответственно раскрыл Адам Кьюс из Assetnote (входит в состав Searchlight Cyber) . Из-за серьёзности проблемы команда WordPress включила принудительные автоматические обновления для всех затронутых сайтов .
Идентификаторы
Атака wp2shell представляет собой цепочку из двух уязвимостей :
CVE-2026-63030 — Путаница маршрутов в пакетной конечной точке REST API. Критический рейтинг, оценка CVSS — 9.8. (Первоначально один источник указывал 7.5, но несколько вендоров безопасности пересмотрели оценку до 9.8 .)
CVE-2026-60137 — SQL-инъекция без аутентификации в параметре author__not_in объекта WP_Query. Высокий уровень опасности .
Затронутые версии
WordPress 6.9.x: все версии до 6.9.5 (6.9.0–6.9.4)
WordPress 7.0.x: все версии до 7.0.2 (7.0.0 и 7.0.1)
Ветка 6.8.x получила обратный порт исправления в версии 6.8.6
Технические детали
Атака wp2shell объединяет две ошибки :
CVE-2026-60137 — SQL-инъекция без аутентификации. Отправляя специально сформированные HTTP-запросы к параметру author__not_in, злоумышленник может внедрить вредоносный SQL-код в базу данных WordPress без каких-либо учётных данных.
CVE-2026-63030 — Путаница маршрутов в пакетной конечной точке REST API (/wp-json/batch/v1). Эта конечная точка обрабатывает несколько подзапросов в одном вызове. Из-за особенности парсинга два внутренних массива рассинхронизируются, что позволяет злоумышленнику обойти ограничения маршрутов и объединить внутренние вызовы API, которые обычно запрещены .
В комбинации атакующий использует пакетную конечную точку для вложенных запросов, которые злоупотребляют SQL-инъекцией. Это приводит к полному удалённому выполнению кода путём:
Записи произвольных данных (например, PHP-оболочки) в файловую систему через MySQL-команду INTO OUTFILE;
Или манипуляции опциями WordPress, выполняющими PHP-код .
Атака не требует аутентификации, не требует плагинов и работает на стандартной установке WordPress. По состоянию на 18 июля 2026 года был опубликован публичный чекер на сайте wp2shell.com, а рабочий PoC-эксплойт распространяется .
Важный нюанс: постоянный объектный кеш (например, Redis или Memcached) может частично смягчить или изменить путь эксплуатации, но не устраняет основную уязвимость .
Шаги по защите
Обновитесь немедленно — перейдите на WordPress 6.9.5, 7.0.2 или 6.8.6. Большинство сайтов с включёнными автообновлениями уже должны были получить принудительное обновление .
Проверьте версию — зайдите в Панель управления → Обновления или проверьте файл wp-includes/version.php.
Если обновиться сразу невозможно — разверните виртуальный патч или WAF-правило. Cloudflare выпустил WAF-правила, специально блокирующие вектор атаки wp2shell .
Проверьте признаки компрометации — ищите неожиданные файлы в wp-content/uploads/, незнакомых пользователей с правами администратора или необычные записи в базе данных. Массовой эксплуатации пока не подтверждено, но публичный PoC означает, что сканирование уже началось.
Проверьте привилегии пользователя базы данных — убедитесь, что пользователь базы данных WordPress не имеет привилегии FILE (которая включает INTO OUTFILE). Это ограничивает путь эскалации до RCE.
Почему открытый исходный код WordPress создаёт острую угрозу
Даже при отсутствии подтверждённой эксплуатации в дикой природе, модель открытого исходного кода порождает отчётливую и острую угрозу в случае с wp2shell:
Полная прозрачность исходного кода для атакующих — поскольку WordPress имеет открытый исходный код, любой может скачать исправленные версии, сравнить код с уязвимым и восстановить точный путь эксплуатации в течение нескольких часов после выпуска патча. Вендоры безопасности подтвердили, что сравнение исходного кода немедленно раскрывает уязвимые участки .
Сокращённое окно для защиты — в отличие от проприетарного ПО, где для разработки эксплойта требуется независимое исследование уязвимости, патч с открытым исходным кодом фактически публикует детали уязвимости. Защитники должны патчить глобально в течение часов, а не дней.
Огромная и разнородная поверхность атаки — WordPress работает примерно на 43% всех веб-сайтов. Миллионы установок поддерживаются операторами с разным уровнем безопасности. Многие сайты заброшены, работают на устаревших версиях PHP или не имеют автоматических обновлений, становясь лёгкими целями после публикации кода эксплойта .
Низкий барьер для превращения в оружие — чекер PoC и код эксплойта были опубликованы в течение 24 часов после выпуска патча . Любой атакующий со средними навыками может адаптировать публичный код в массовый сканер.
Отсутствие барьера аутентификации — вся цепочка не требует аутентификации и работает на стандартном WordPress. Атакующему не нужны действительные учётные данные, уязвимый плагин или особая конфигурация. Это резко снижает усилия, необходимые для массового превращения уязвимости в оружие .
Коротко говоря, модель открытого исходного кода означает, что сам патч становится подробным документом раскрытия, а огромная и разнородная установочная база гарантирует длинный хвост уязвимых целей — создавая период высокого риска ещё до того, как будет замечена "официальная" эксплуатация.
cyber.gov.rw
Security Alert: WordPress Security Update - July 2026
Версии 6.9.5 и 7.0.2 были выпущены 17 июля 2026 года для закрытия цепочки уязвимостей wp2shell. Ошибку обнаружил и ответственно раскрыл Адам Кьюс из Assetnote (входит в состав Searchlight Cyber) . Из-за серьёзности проблемы команда WordPress включила принудительные автоматические обновления для всех затронутых сайтов .
Идентификаторы
Атака wp2shell представляет собой цепочку из двух уязвимостей :
CVE-2026-63030 — Путаница маршрутов в пакетной конечной точке REST API. Критический рейтинг, оценка CVSS — 9.8. (Первоначально один источник указывал 7.5, но несколько вендоров безопасности пересмотрели оценку до 9.8 .)
CVE-2026-60137 — SQL-инъекция без аутентификации в параметре author__not_in объекта WP_Query. Высокий уровень опасности .
Затронутые версии
WordPress 6.9.x: все версии до 6.9.5 (6.9.0–6.9.4)
WordPress 7.0.x: все версии до 7.0.2 (7.0.0 и 7.0.1)
Ветка 6.8.x получила обратный порт исправления в версии 6.8.6
Технические детали
Атака wp2shell объединяет две ошибки :
CVE-2026-60137 — SQL-инъекция без аутентификации. Отправляя специально сформированные HTTP-запросы к параметру author__not_in, злоумышленник может внедрить вредоносный SQL-код в базу данных WordPress без каких-либо учётных данных.
CVE-2026-63030 — Путаница маршрутов в пакетной конечной точке REST API (/wp-json/batch/v1). Эта конечная точка обрабатывает несколько подзапросов в одном вызове. Из-за особенности парсинга два внутренних массива рассинхронизируются, что позволяет злоумышленнику обойти ограничения маршрутов и объединить внутренние вызовы API, которые обычно запрещены .
В комбинации атакующий использует пакетную конечную точку для вложенных запросов, которые злоупотребляют SQL-инъекцией. Это приводит к полному удалённому выполнению кода путём:
Записи произвольных данных (например, PHP-оболочки) в файловую систему через MySQL-команду INTO OUTFILE;
Или манипуляции опциями WordPress, выполняющими PHP-код .
Атака не требует аутентификации, не требует плагинов и работает на стандартной установке WordPress. По состоянию на 18 июля 2026 года был опубликован публичный чекер на сайте wp2shell.com, а рабочий PoC-эксплойт распространяется .
Важный нюанс: постоянный объектный кеш (например, Redis или Memcached) может частично смягчить или изменить путь эксплуатации, но не устраняет основную уязвимость .
Шаги по защите
Обновитесь немедленно — перейдите на WordPress 6.9.5, 7.0.2 или 6.8.6. Большинство сайтов с включёнными автообновлениями уже должны были получить принудительное обновление .
Проверьте версию — зайдите в Панель управления → Обновления или проверьте файл wp-includes/version.php.
Если обновиться сразу невозможно — разверните виртуальный патч или WAF-правило. Cloudflare выпустил WAF-правила, специально блокирующие вектор атаки wp2shell .
Проверьте признаки компрометации — ищите неожиданные файлы в wp-content/uploads/, незнакомых пользователей с правами администратора или необычные записи в базе данных. Массовой эксплуатации пока не подтверждено, но публичный PoC означает, что сканирование уже началось.
Проверьте привилегии пользователя базы данных — убедитесь, что пользователь базы данных WordPress не имеет привилегии FILE (которая включает INTO OUTFILE). Это ограничивает путь эскалации до RCE.
Почему открытый исходный код WordPress создаёт острую угрозу
Даже при отсутствии подтверждённой эксплуатации в дикой природе, модель открытого исходного кода порождает отчётливую и острую угрозу в случае с wp2shell:
Полная прозрачность исходного кода для атакующих — поскольку WordPress имеет открытый исходный код, любой может скачать исправленные версии, сравнить код с уязвимым и восстановить точный путь эксплуатации в течение нескольких часов после выпуска патча. Вендоры безопасности подтвердили, что сравнение исходного кода немедленно раскрывает уязвимые участки .
Сокращённое окно для защиты — в отличие от проприетарного ПО, где для разработки эксплойта требуется независимое исследование уязвимости, патч с открытым исходным кодом фактически публикует детали уязвимости. Защитники должны патчить глобально в течение часов, а не дней.
Огромная и разнородная поверхность атаки — WordPress работает примерно на 43% всех веб-сайтов. Миллионы установок поддерживаются операторами с разным уровнем безопасности. Многие сайты заброшены, работают на устаревших версиях PHP или не имеют автоматических обновлений, становясь лёгкими целями после публикации кода эксплойта .
Низкий барьер для превращения в оружие — чекер PoC и код эксплойта были опубликованы в течение 24 часов после выпуска патча . Любой атакующий со средними навыками может адаптировать публичный код в массовый сканер.
Отсутствие барьера аутентификации — вся цепочка не требует аутентификации и работает на стандартном WordPress. Атакующему не нужны действительные учётные данные, уязвимый плагин или особая конфигурация. Это резко снижает усилия, необходимые для массового превращения уязвимости в оружие .
Коротко говоря, модель открытого исходного кода означает, что сам патч становится подробным документом раскрытия, а огромная и разнородная установочная база гарантирует длинный хвост уязвимых целей — создавая период высокого риска ещё до того, как будет замечена "официальная" эксплуатация.
cyber.gov.rw
Security Alert: WordPress Security Update - July 2026
