wp2shell у WordPress: що потрібно знати про критичну RCE-вразливість
17 липня 2026 року WordPress випустив екстрені оновлення 6.9.5 і 7.0.2, а для гілки 6.8 — версію 6.8.6. wp2shell — це ланцюжок із SQL ін’єкції та помилки маршрутизації REST API, який міг призвести до віддаленого виконання довільного коду.
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
17 липня 2026 року WordPress випустив екстрені оновлення 6.9.5 і 7.0.2, а для гілки 6.8 — версію 6.8.6.
wp2shell — це ланцюжок із SQL ін’єкції та помилки маршрутизації REST API, який міг призвести до віддаленого виконання довільного коду.
Атака не потребувала автентифікації, плагінів або особливих налаштувань і працювала на стандартній інсталяції WordPress.
Через відкритий код WordPress зловмисники могли швидко порівняти виправлену й уразливу версії та відновити механіку атаки.
Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what areConceptual representation of the wp2shell WordPress core vulnerability alert.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what are. Article summary: Here is the full fact-checked breakdown.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
17 липня 2026 року WordPress випустив екстрені оновлення безпеки, щоб закрити wp2shell — критичний ланцюжок уразливостей у ядрі CMS. Він давав змогу неавторизованому зловмиснику виконувати довільний код на сервері, причому для атаки не були потрібні облікові дані, плагіни чи спеціальна конфігурація.
На відміну від більшості інцидентів у екосистемі WordPress, де проблеми виникають у сторонніх плагінах або темах, цього разу вразливість містилася безпосередньо в ядрі системи. Тому потенційно під загрозою опинилися навіть «чисті» інсталяції.
Що саме виправили
WordPress випустив версії 6.9.5 і 7.0.2 17 липня 2026 року. Старша гілка 6.8.x також отримала виправлення — версію 6.8.6.
Уразливість виявив і відповідально розкрив Адам К’юз (Adam Kues) із Assetnote, компанії, що входить до Searchlight Cyber. Через серйозність проблеми команда WordPress увімкнула примусові автоматичні оновлення для сайтів із небезпечними версіями .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "wp2shell у WordPress: що потрібно знати про критичну RCE-вразливість"?
17 липня 2026 року WordPress випустив екстрені оновлення 6.9.5 і 7.0.2, а для гілки 6.8 — версію 6.8.6.
What are the key points to validate first?
17 липня 2026 року WordPress випустив екстрені оновлення 6.9.5 і 7.0.2, а для гілки 6.8 — версію 6.8.6. wp2shell — це ланцюжок із SQL ін’єкції та помилки маршрутизації REST API, який міг призвести до віддаленого виконання довільного коду.
What should I do next in practice?
Атака не потребувала автентифікації, плагінів або особливих налаштувань і працювала на стандартній інсталяції WordPress.
wp2shell у WordPress: що потрібно знати про критичну RCE-вразливість
17 липня 2026 року WordPress випустив екстрені оновлення 6.9.5 і 7.0.2, а для гілки 6.8 — версію 6.8.6. wp2shell — це ланцюжок із SQL ін’єкції та помилки маршрутизації REST API, який міг призвести до віддаленого виконання довільного коду.
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
17 липня 2026 року WordPress випустив екстрені оновлення 6.9.5 і 7.0.2, а для гілки 6.8 — версію 6.8.6.
wp2shell — це ланцюжок із SQL ін’єкції та помилки маршрутизації REST API, який міг призвести до віддаленого виконання довільного коду.
Атака не потребувала автентифікації, плагінів або особливих налаштувань і працювала на стандартній інсталяції WordPress.
Через відкритий код WordPress зловмисники могли швидко порівняти виправлену й уразливу версії та відновити механіку атаки.
Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what areConceptual representation of the wp2shell WordPress core vulnerability alert.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What critical WordPress vulnerability was patched in emergency updates on July 17, 2026, what are. Article summary: Here is the full fact-checked breakdown.. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
17 липня 2026 року WordPress випустив екстрені оновлення безпеки, щоб закрити wp2shell — критичний ланцюжок уразливостей у ядрі CMS. Він давав змогу неавторизованому зловмиснику виконувати довільний код на сервері, причому для атаки не були потрібні облікові дані, плагіни чи спеціальна конфігурація.
На відміну від більшості інцидентів у екосистемі WordPress, де проблеми виникають у сторонніх плагінах або темах, цього разу вразливість містилася безпосередньо в ядрі системи. Тому потенційно під загрозою опинилися навіть «чисті» інсталяції.
Що саме виправили
WordPress випустив версії 6.9.5 і 7.0.2 17 липня 2026 року. Старша гілка 6.8.x також отримала виправлення — версію 6.8.6.
Уразливість виявив і відповідально розкрив Адам К’юз (Adam Kues) із Assetnote, компанії, що входить до Searchlight Cyber. Через серйозність проблеми команда WordPress увімкнула примусові автоматичні оновлення для сайтів із небезпечними версіями .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "wp2shell у WordPress: що потрібно знати про критичну RCE-вразливість"?
17 липня 2026 року WordPress випустив екстрені оновлення 6.9.5 і 7.0.2, а для гілки 6.8 — версію 6.8.6.
What are the key points to validate first?
17 липня 2026 року WordPress випустив екстрені оновлення 6.9.5 і 7.0.2, а для гілки 6.8 — версію 6.8.6. wp2shell — це ланцюжок із SQL ін’єкції та помилки маршрутизації REST API, який міг призвести до віддаленого виконання довільного коду.
What should I do next in practice?
Атака не потребувала автентифікації, плагінів або особливих налаштувань і працювала на стандартній інсталяції WordPress.
Назва wp2shell позначає не одну помилку, а комбінацію двох вразливостей :
CVE-2026-63030 — помилка плутанини маршрутів у пакетному кінцевому елементі REST API. Вразливість оцінюється як критична; кілька постачальників безпеки вказали оцінку CVSS 9,8. У первинному повідомленні одного з джерел фігурувала оцінка 7,5, однак згодом її переглянули.
CVE-2026-60137 — неавторизована SQL-ін’єкція в параметрі author__not_in компонента WP_Query. Її віднесли до вразливостей високого рівня небезпеки .
Окремо ці проблеми вже становлять ризик, але саме разом вони створюють шлях до повного віддаленого виконання коду.
Які версії WordPress уразливі
WordPress 6.9.x — усі версії від 6.9.0 до 6.9.4;
WordPress 7.0.x — версії 7.0.0 і 7.0.1;
WordPress 6.8.x — для цієї гілки випущено бекпорт до версії 6.8.6 .
Виправлені версії — 6.9.5, 7.0.2 і 6.8.6 відповідно.
Як працював ланцюжок wp2shell
Атака поєднувала дві помилки в ядрі WordPress .
SQL-ін’єкція CVE-2026-60137. Спеціально сформований HTTP-запит до параметра author__not_in міг дозволити зловмиснику вставити власний SQL-код у запит до бази даних без входу в обліковий запис.
Плутанина маршрутів CVE-2026-63030. Кінцевий елемент REST API /wp-json/batch/v1 обробляє кілька внутрішніх запитів одним викликом. Особливість розбору даних могла призвести до розсинхронізації двох внутрішніх масивів. У результаті з’являлася можливість обійти обмеження маршрутів і викликати внутрішні API-операції, які зазвичай недоступні .
Поєднавши ці помилки, атакувальник міг передати через пакетний endpoint вкладені запити й використати SQL-ін’єкцію для переходу до повного віддаленого виконання коду. Серед описаних шляхів — запис довільних даних, наприклад PHP-вебшелла, у файлову систему через команду MySQL INTO OUTFILE, а також маніпуляції з параметрами WordPress, які призводять до виконання PHP-коду .
Атака не потребувала автентифікації, встановлених плагінів або нестандартних налаштувань і могла працювати на типовій інсталяції WordPress . Станом на 18 липня 2026 року став доступним публічний перевіряльник на wp2shell.com, а робочий proof-of-concept експлойту вже поширювався .
Водночас постійний кеш об’єктів, наприклад Redis або Memcached, міг частково змінювати чи ускладнювати шлях атаки. Однак він не усував саму вразливість .
Що потрібно зробити адміністраторам сайтів
Негайно оновіть WordPress. Перейдіть на версію 6.9.5, 7.0.2 або 6.8.6. На більшості сайтів із підтримкою автоматичних оновлень патч мав установитися примусово .
Перевірте фактичну версію. У панелі керування відкрийте Консоль → Оновлення або перевірте значення у файлі wp-includes/version.php.
Якщо оновлення неможливе прямо зараз, застосуйте віртуальний патч або правило WAF. Cloudflare повідомила про спеціальні правила для блокування вектора wp2shell .
Перевірте ознаки компрометації. Зверніть увагу на незнайомі файли в wp-content/uploads/, нових адміністраторів і нетипові записи в базі даних. Масову експлуатацію не було підтверджено, але після публікації PoC сканування сайтів, імовірно, вже почалося.
Перегляньте права користувача бази даних. Користувач WordPress не повинен мати привілей FILE, який дає змогу використовувати INTO OUTFILE. Це може обмежити один зі шляхів ескалації до виконання коду.
Чому відкритий код підвищує ризик
Відсутність підтвердженої масової експлуатації не означає, що загроза мінімальна. Для wp2shell модель відкритого коду WordPress створює особливо коротке вікно для захисту.
Патч спрощує пошук першопричини. Будь-хто може завантажити виправлену версію WordPress, порівняти її з уразливою та за допомогою аналізу відмінностей відновити точний шлях атаки протягом кількох годин після випуску патча. Постачальники безпеки підтверджували, що таке порівняння одразу вказує на проблемний код .
Захисникам доводиться діяти за лічені години. У закритому програмному забезпеченні зловмиснику спочатку потрібно самостійно дослідити вразливість. У відкритому проєкті виправлення водночас стає детальною підказкою для розробки експлойту.
WordPress має величезну й неоднорідну базу інсталяцій. Система працює приблизно на 43% усіх сайтів. Частина ресурсів не обслуговується належним чином, використовує застаріле програмне забезпечення або не має автоматичних оновлень. Після появи експлойту такі сайти стають легкими цілями .
Поріг для масового використання низький. Перевіряльник і код експлойту були оприлюднені протягом 24 годин після випуску патча . Це дає змогу навіть зловмисникам із помірним рівнем технічних навичок адаптувати код для масового сканування.
Немає бар’єра автентифікації. Ланцюжок працює до входу в систему на стандартній інсталяції WordPress. Не потрібні ні викрадені облікові дані, ні вразливий плагін, ні спеціальна конфігурація .
Отже, у випадку wp2shell сам факт випуску патча фактично скорочує час до появи придатного для атаки аналізу. Величезна кількість сайтів із різним рівнем захисту створює довгий список потенційно вразливих цілей — ще до того, як буде офіційно зафіксовано масштабну експлуатацію.
Назва wp2shell позначає не одну помилку, а комбінацію двох вразливостей :
CVE-2026-63030 — помилка плутанини маршрутів у пакетному кінцевому елементі REST API. Вразливість оцінюється як критична; кілька постачальників безпеки вказали оцінку CVSS 9,8. У первинному повідомленні одного з джерел фігурувала оцінка 7,5, однак згодом її переглянули.
CVE-2026-60137 — неавторизована SQL-ін’єкція в параметрі author__not_in компонента WP_Query. Її віднесли до вразливостей високого рівня небезпеки .
Окремо ці проблеми вже становлять ризик, але саме разом вони створюють шлях до повного віддаленого виконання коду.
Які версії WordPress уразливі
WordPress 6.9.x — усі версії від 6.9.0 до 6.9.4;
WordPress 7.0.x — версії 7.0.0 і 7.0.1;
WordPress 6.8.x — для цієї гілки випущено бекпорт до версії 6.8.6 .
Виправлені версії — 6.9.5, 7.0.2 і 6.8.6 відповідно.
Як працював ланцюжок wp2shell
Атака поєднувала дві помилки в ядрі WordPress .
SQL-ін’єкція CVE-2026-60137. Спеціально сформований HTTP-запит до параметра author__not_in міг дозволити зловмиснику вставити власний SQL-код у запит до бази даних без входу в обліковий запис.
Плутанина маршрутів CVE-2026-63030. Кінцевий елемент REST API /wp-json/batch/v1 обробляє кілька внутрішніх запитів одним викликом. Особливість розбору даних могла призвести до розсинхронізації двох внутрішніх масивів. У результаті з’являлася можливість обійти обмеження маршрутів і викликати внутрішні API-операції, які зазвичай недоступні .
Поєднавши ці помилки, атакувальник міг передати через пакетний endpoint вкладені запити й використати SQL-ін’єкцію для переходу до повного віддаленого виконання коду. Серед описаних шляхів — запис довільних даних, наприклад PHP-вебшелла, у файлову систему через команду MySQL INTO OUTFILE, а також маніпуляції з параметрами WordPress, які призводять до виконання PHP-коду .
Атака не потребувала автентифікації, встановлених плагінів або нестандартних налаштувань і могла працювати на типовій інсталяції WordPress . Станом на 18 липня 2026 року став доступним публічний перевіряльник на wp2shell.com, а робочий proof-of-concept експлойту вже поширювався .
Водночас постійний кеш об’єктів, наприклад Redis або Memcached, міг частково змінювати чи ускладнювати шлях атаки. Однак він не усував саму вразливість .
Що потрібно зробити адміністраторам сайтів
Негайно оновіть WordPress. Перейдіть на версію 6.9.5, 7.0.2 або 6.8.6. На більшості сайтів із підтримкою автоматичних оновлень патч мав установитися примусово .
Перевірте фактичну версію. У панелі керування відкрийте Консоль → Оновлення або перевірте значення у файлі wp-includes/version.php.
Якщо оновлення неможливе прямо зараз, застосуйте віртуальний патч або правило WAF. Cloudflare повідомила про спеціальні правила для блокування вектора wp2shell .
Перевірте ознаки компрометації. Зверніть увагу на незнайомі файли в wp-content/uploads/, нових адміністраторів і нетипові записи в базі даних. Масову експлуатацію не було підтверджено, але після публікації PoC сканування сайтів, імовірно, вже почалося.
Перегляньте права користувача бази даних. Користувач WordPress не повинен мати привілей FILE, який дає змогу використовувати INTO OUTFILE. Це може обмежити один зі шляхів ескалації до виконання коду.
Чому відкритий код підвищує ризик
Відсутність підтвердженої масової експлуатації не означає, що загроза мінімальна. Для wp2shell модель відкритого коду WordPress створює особливо коротке вікно для захисту.
Патч спрощує пошук першопричини. Будь-хто може завантажити виправлену версію WordPress, порівняти її з уразливою та за допомогою аналізу відмінностей відновити точний шлях атаки протягом кількох годин після випуску патча. Постачальники безпеки підтверджували, що таке порівняння одразу вказує на проблемний код .
Захисникам доводиться діяти за лічені години. У закритому програмному забезпеченні зловмиснику спочатку потрібно самостійно дослідити вразливість. У відкритому проєкті виправлення водночас стає детальною підказкою для розробки експлойту.
WordPress має величезну й неоднорідну базу інсталяцій. Система працює приблизно на 43% усіх сайтів. Частина ресурсів не обслуговується належним чином, використовує застаріле програмне забезпечення або не має автоматичних оновлень. Після появи експлойту такі сайти стають легкими цілями .
Поріг для масового використання низький. Перевіряльник і код експлойту були оприлюднені протягом 24 годин після випуску патча . Це дає змогу навіть зловмисникам із помірним рівнем технічних навичок адаптувати код для масового сканування.
Немає бар’єра автентифікації. Ланцюжок працює до входу в систему на стандартній інсталяції WordPress. Не потрібні ні викрадені облікові дані, ні вразливий плагін, ні спеціальна конфігурація .
Отже, у випадку wp2shell сам факт випуску патча фактично скорочує час до появи придатного для атаки аналізу. Величезна кількість сайтів із різним рівнем захисту створює довгий список потенційно вразливих цілей — ще до того, як буде офіційно зафіксовано масштабну експлуатацію.
