Krytyczna luka wp2shell w WordPress: zdalne wykonanie kodu bez uwierzytelnienia

Wprowadzenie do problemu / definicja

W ekosystemie WordPress ujawniono krytyczny łańcuch podatności określany jako wp2shell, który może prowadzić do zdalnego wykonania kodu bez uwierzytelnienia. Problem dotyczy rdzenia WordPressa, a nie wyłącznie wtyczek lub motywów, co istotnie zwiększa jego wagę z perspektywy operacyjnej i bezpieczeństwa.

W praktyce oznacza to, że atakujący może rozpocząć działania od anonimowego żądania HTTP i doprowadzić do przejęcia kontroli nad podatną aplikacją webową. Tego typu scenariusz należy do najgroźniejszych klas błędów, ponieważ nie wymaga wcześniejszego uzyskania dostępu do konta użytkownika.

W skrócie

Łańcuch wp2shell składa się z dwóch błędów w rdzeniu WordPressa: CVE-2026-63030 oraz CVE-2026-60137. Ich połączenie umożliwia anonimowemu napastnikowi doprowadzenie do wykonania kodu na podatnych instalacjach.

• Wersje 6.9.0–6.9.4 oraz 7.0.0–7.0.1 były podatne na pełny łańcuch RCE.
• Wersje 6.8.0–6.8.5 były narażone na SQL Injection bez pełnego opisanego łańcucha wykonania kodu.
• Poprawki udostępniono w wydaniach 6.8.6, 6.9.5 oraz 7.0.2.
• Publiczny proof-of-concept zwiększa ryzyko szybkiej i zautomatyzowanej eksploatacji.

Kontekst / historia

Incydent wpisuje się w szerszy trend intensywnego wykorzystywania podatności w popularnych systemach CMS, zwłaszcza wtedy, gdy możliwy jest atak bez logowania. W takich przypadkach czas między publikacją poprawki a pojawieniem się prób masowej eksploatacji zwykle jest bardzo krótki.

Znaczenie sprawy zwiększa fakt, że luka znajduje się w WordPress core, czyli komponencie obecnym także w instalacjach pozbawionych dodatkowych rozszerzeń. Odróżnia to wp2shell od wielu wcześniejszych incydentów związanych z bezpieczeństwem WordPressa, które obejmowały głównie wtyczki o ograniczonym zasięgu wdrożenia.

Po publikacji poprawek szybko pojawiły się analizy techniczne oraz działający kod demonstracyjny. Taka sekwencja zdarzeń zwykle oznacza wzrost aktywności skanerów, botnetów i operatorów ataków oportunistycznych, którzy poszukują niezałatanych hostów.

Analiza techniczna

Technicznie wp2shell jest łańcuchem dwóch błędów, z których każdy pełni odrębną rolę w scenariuszu ataku. Pierwszy z nich, CVE-2026-60137, dotyczy podatności SQL Injection w rdzeniu WordPressa. Według opisu problem występuje w obsłudze parametru author__not_in w mechanizmie WP_Query.

W standardowym scenariuszu parametr ten powinien być tablicą, jednak po dostarczeniu ciągu znaków kontrola typu może zostać pominięta, a nieprzetworzona wartość trafia dalej do zapytania. To otwiera drogę do manipulacji logiką zapytań do bazy danych.

Drugi element, CVE-2026-63030, obejmuje mechanizm REST API, a dokładniej endpoint /wp-json/batch/v1. Endpoint ten służy do grupowania wielu podżądań w jednym wywołaniu, natomiast błąd logiczny w obsłudze mapowania żądań i handlerów może doprowadzić do przesunięcia kontekstu przetwarzania.

W rezultacie jedno z żądań może zostać obsłużone przez inny handler, niż przewidywano. Właśnie to połączenie błędu w batch route z podatnością SQL Injection umożliwia ominięcie części ograniczeń dostępu, przejście przez mechanizm REST API i dostarczenie złośliwego wejścia do podatnego kodu bez konieczności uwierzytelnienia.

• 6.8.0–6.8.5: podatność SQL Injection bez pełnego łańcucha RCE opisanego jako wp2shell.
• 6.9.0–6.9.4: pełny łańcuch prowadzący do nieautoryzowanego wykonania kodu.
• 7.0.0–7.0.1: pełny łańcuch prowadzący do nieautoryzowanego wykonania kodu.

Dodatkowym niuansem technicznym jest fakt, że pełna ścieżka RCE może nie działać w środowiskach wykorzystujących persistent object cache, na przykład z użyciem Redis lub Memcached. Nie należy jednak traktować tego jako skutecznej metody ochrony, ponieważ nie usuwa to samej podatności ani ryzyka innych skutków kompromitacji.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem jest możliwość anonimowego przejęcia witryny WordPress bez potrzeby posiadania konta użytkownika. W zależności od architektury wdrożenia i uprawnień procesu aplikacyjnego może to oznaczać pełne naruszenie poufności, integralności i dostępności.

• instalację webshella,
• wykonanie dowolnych poleceń po stronie serwera,
• kradzież danych z bazy,
• modyfikację treści witryny,
• tworzenie nowych kont administracyjnych,
• dalszy ruch boczny w infrastrukturze współdzielonej.

Z perspektywy obrońców szczególnie niebezpieczne są trzy elementy: brak wymogu uwierzytelnienia, dostępność publicznego proof-of-concept oraz ogromna popularność WordPressa. Taki zestaw zwykle prowadzi do szybkiego uprzemysłowienia ataków i przejścia od ręcznych testów do zautomatyzowanych kampanii skanujących internet.

Ryzyko operacyjne pozostaje wysokie także dlatego, że część administratorów może błędnie zakładać, iż automatyczne aktualizacje rozwiązały problem na wszystkich instancjach. W praktyce wdrożenie poprawek należy potwierdzić przez sprawdzenie rzeczywistej wersji aplikacji w każdym środowisku.

Rekomendacje

Najważniejszym działaniem jest natychmiastowa aktualizacja WordPressa do wersji naprawionej. Dla gałęzi 6.8 jest to wersja 6.8.6, dla 6.9 wersja 6.9.5, a dla 7.0 wersja 7.0.2 lub nowsza zawierająca poprawki bezpieczeństwa.

• Zweryfikować rzeczywistą wersję WordPressa na wszystkich instancjach, w tym w środowiskach testowych, zapomnianych subdomenach i systemach tymczasowych.
• Przeanalizować logi HTTP oraz WAF pod kątem żądań do /wp-json/batch/v1 oraz rest_route=/batch/v1.
• Wdrożyć tymczasowe reguły blokujące ruch do endpointu batch API, jeśli aktualizacja nie może zostać wykonana natychmiast.
• Ograniczyć anonimowy dostęp do REST API, jeśli nie zakłóci to wymaganych integracji biznesowych.
• Sprawdzić integralność aplikacji pod kątem nieautoryzowanych plików PHP, zmian w katalogu wp-content, nowych kont administracyjnych i modyfikacji harmonogramu zadań.
• Przeprowadzić przegląd bazy danych w poszukiwaniu śladów manipulacji oraz nietypowych rekordów.
• Włączyć lub zaostrzyć monitoring detekcyjny dla wzorców związanych z eksploatacją REST API, tworzeniem webshelli i anomaliami procesu PHP.
• Przygotować procedurę reagowania obejmującą izolację hosta, rotację poświadczeń, odtworzenie z backupu oraz ocenę skali kompromitacji.

Jeżeli organizacja korzysta z reverse proxy lub WAF, warto dodatkowo potwierdzić, czy odpowiednie sygnatury ochronne zostały już dostarczone i aktywowane. Należy jednak pamiętać, że taka kontrola jedynie redukuje ryzyko i nie zastępuje instalacji poprawek.

Podsumowanie

wp2shell to jeden z najpoważniejszych przypadków naruszenia bezpieczeństwa rdzenia WordPressa w ostatnim czasie. Łączy SQL Injection, błąd logiczny w REST API oraz możliwość nieautoryzowanego wykonania kodu, co tworzy wyjątkowo niebezpieczny scenariusz ataku.

Dla administratorów i zespołów bezpieczeństwa priorytetem powinno być szybkie potwierdzenie wersji, wdrożenie aktualizacji i aktywne poszukiwanie oznak kompromitacji. W przypadku tak szeroko wdrożonej platformy każda zwłoka zwiększa prawdopodobieństwo przejęcia podatnych instancji przez zautomatyzowane kampanie atakujących.

Źródła

1. New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code — https://thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw-lets.html
2. WordPress 6.9.5 Security Release — https://wordpress.org/news/2026/07/wordpress-6-9-5-security-release/
3. WordPress 7.0.2 Security Release — https://wordpress.org/news/2026/07/wordpress-7-0-2-security-release/
4. Cloudflare: Protection for WordPress wp2shell Exploitation Attempts — https://blog.cloudflare.com/
5. WordPress Core Trac / Security Advisory References — https://github.com/WordPress/wordpress-develop/security