wp2shell у WordPress: що потрібно знати про критичну RCE-вразливість

Ідентифікатори вразливостей

Назва wp2shell позначає не одну помилку, а комбінацію двох вразливостей :

• CVE-2026-63030 — помилка плутанини маршрутів у пакетному кінцевому елементі REST API. Вразливість оцінюється як критична; кілька постачальників безпеки вказали оцінку CVSS 9,8 . У первинному повідомленні одного з джерел фігурувала оцінка 7,5, однак згодом її переглянули.
• CVE-2026-60137 — неавторизована SQL-ін’єкція в параметрі author__not_in компонента WP_Query. Її віднесли до вразливостей високого рівня небезпеки .

Окремо ці проблеми вже становлять ризик, але саме разом вони створюють шлях до повного віддаленого виконання коду.

Які версії WordPress уразливі

• WordPress 6.9.x — усі версії від 6.9.0 до 6.9.4;
• WordPress 7.0.x — версії 7.0.0 і 7.0.1;
• WordPress 6.8.x — для цієї гілки випущено бекпорт до версії 6.8.6 .

Виправлені версії — 6.9.5, 7.0.2 і 6.8.6 відповідно.

Як працював ланцюжок wp2shell

Атака поєднувала дві помилки в ядрі WordPress .

1. SQL-ін’єкція CVE-2026-60137. Спеціально сформований HTTP-запит до параметра author__not_in міг дозволити зловмиснику вставити власний SQL-код у запит до бази даних без входу в обліковий запис.

2. Плутанина маршрутів CVE-2026-63030. Кінцевий елемент REST API /wp-json/batch/v1 обробляє кілька внутрішніх запитів одним викликом. Особливість розбору даних могла призвести до розсинхронізації двох внутрішніх масивів. У результаті з’являлася можливість обійти обмеження маршрутів і викликати внутрішні API-операції, які зазвичай недоступні .

Поєднавши ці помилки, атакувальник міг передати через пакетний endpoint вкладені запити й використати SQL-ін’єкцію для переходу до повного віддаленого виконання коду. Серед описаних шляхів — запис довільних даних, наприклад PHP-вебшелла, у файлову систему через команду MySQL INTO OUTFILE, а також маніпуляції з параметрами WordPress, які призводять до виконання PHP-коду .

Атака не потребувала автентифікації, встановлених плагінів або нестандартних налаштувань і могла працювати на типовій інсталяції WordPress . Станом на 18 липня 2026 року став доступним публічний перевіряльник на wp2shell.com, а робочий proof-of-concept експлойту вже поширювався .

Водночас постійний кеш об’єктів, наприклад Redis або Memcached, міг частково змінювати чи ускладнювати шлях атаки. Однак він не усував саму вразливість .

Що потрібно зробити адміністраторам сайтів

1. Негайно оновіть WordPress. Перейдіть на версію 6.9.5, 7.0.2 або 6.8.6. На більшості сайтів із підтримкою автоматичних оновлень патч мав установитися примусово .
2. Перевірте фактичну версію. У панелі керування відкрийте Консоль → Оновлення або перевірте значення у файлі wp-includes/version.php.
3. Якщо оновлення неможливе прямо зараз, застосуйте віртуальний патч або правило WAF. Cloudflare повідомила про спеціальні правила для блокування вектора wp2shell .
4. Перевірте ознаки компрометації. Зверніть увагу на незнайомі файли в wp-content/uploads/, нових адміністраторів і нетипові записи в базі даних. Масову експлуатацію не було підтверджено, але після публікації PoC сканування сайтів, імовірно, вже почалося.
5. Перегляньте права користувача бази даних. Користувач WordPress не повинен мати привілей FILE, який дає змогу використовувати INTO OUTFILE. Це може обмежити один зі шляхів ескалації до виконання коду.

Чому відкритий код підвищує ризик

Відсутність підтвердженої масової експлуатації не означає, що загроза мінімальна. Для wp2shell модель відкритого коду WordPress створює особливо коротке вікно для захисту.

• Патч спрощує пошук першопричини. Будь-хто може завантажити виправлену версію WordPress, порівняти її з уразливою та за допомогою аналізу відмінностей відновити точний шлях атаки протягом кількох годин після випуску патча. Постачальники безпеки підтверджували, що таке порівняння одразу вказує на проблемний код .
• Захисникам доводиться діяти за лічені години. У закритому програмному забезпеченні зловмиснику спочатку потрібно самостійно дослідити вразливість. У відкритому проєкті виправлення водночас стає детальною підказкою для розробки експлойту.
• WordPress має величезну й неоднорідну базу інсталяцій. Система працює приблизно на 43% усіх сайтів. Частина ресурсів не обслуговується належним чином, використовує застаріле програмне забезпечення або не має автоматичних оновлень. Після появи експлойту такі сайти стають легкими цілями .
• Поріг для масового використання низький. Перевіряльник і код експлойту були оприлюднені протягом 24 годин після випуску патча . Це дає змогу навіть зловмисникам із помірним рівнем технічних навичок адаптувати код для масового сканування.
• Немає бар’єра автентифікації. Ланцюжок працює до входу в систему на стандартній інсталяції WordPress. Не потрібні ні викрадені облікові дані, ні вразливий плагін, ні спеціальна конфігурація .

Отже, у випадку wp2shell сам факт випуску патча фактично скорочує час до появи придатного для атаки аналізу. Величезна кількість сайтів із різним рівнем захисту створює довгий список потенційно вразливих цілей — ще до того, як буде офіційно зафіксовано масштабну експлуатацію.