👾 wp2shell: WordPress захватывают без пароля

17 июля Searchlight Cyber раскрыла wp2shell, цепочку из двух уязвимостей в ядре WordPress (CVE-2026-63030 и CVE-2026-60137). Связка дает анонимному злоумышленнику удаленное выполнение кода и полный захват сайта. Дыра в ядре, поэтому уязвим даже стоковый WordPress без плагинов.

Почему опасно:
🔻 Путаница маршрутов в batch-эндпоинте REST API открывает SQL-инъекцию в WP_Query, затем создается админ и заливается веб-шелл
🔻 Атака без предусловий: ни аккаунта, ни настроек, ни действий пользователя. Плагины безопасности и сложные пароли не спасают
🔻 Уязвимы 6.9.0-6.9.4 и 7.0.0-7.0.1. Патч вышел в день раскрытия, но за часы появились PoC и пошла эксплуатация, обе CVE в CISA KEV

Что делать:
1. Обновиться до 6.9.5 или 7.0.2. Форс-апдейт срабатывает не всегда, проверьте версию
2. До патча закрыть на WAF оба маршрута: /wp-json/batch/v1 и ?rest_route=/batch/v1
3. Threat hunting: искать лишних админов и веб-шеллы

@tomhunter
Наш канал в MAX