Критическая цепочка уязвимостей wp2shell активно эксплуатируется в атаках на WordPress

Уязвимости были обнаружены компанией Searchlight Cyber при помощи языковой модели GPT 5.6 Sol, разработанной OpenAI, и опубликованы 17 июля 2026 года. Цепочка CVE-2026-63030 и CVE-2026-60137 затрагивает любые стандартные установки WordPress, выпущенные начиная с декабря 2025 года. Согласно данным телеметрии Wiz Research, на момент публикации около 60% организаций, использующих WordPress, имели хотя бы одну уязвимую инсталляцию, а 25% держали такой сервер открытым в интернет. Однако ситуация быстро меняется: уже через сутки после объявления об уязвимости доля подверженных риску организаций снизилась до 50%, а доля открытых серверов - до 10%.

Практически сразу после публикации информации об уязвимостях в открытом доступе появилось множество эксплойтов, реализующих цепочку атаки. Первые версии были ограничены SQL-инъекцией на стандартных конфигурациях WordPress, однако позднее были созданы полноценные эксплойты, позволяющие удалённо выполнять код на произвольных целях.

В анализе Wiz Research сообщается, что исследователи наблюдают сразу несколько групп злоумышленников, успешно использующих wp2shell против экземпляров WordPress, развёрнутых в облаке. После массовой автоматизированной эксплуатации через API фиксируются следующие действия: загрузка вредоносных плагинов через страницу установки, перебор имён пользователей и адресов электронной почты через REST API, попытки локального включения файлов для кражи учётных данных и ключей аутентификации, а также успешный доступ к панели администратора. При этом признаков бокового перемещения внутри инфраструктуры или эксфильтрации данных пока не обнаружено.

Особый интерес представляют вредоносные веб-шеллы, развёрнутые атакующими. Исследователи выделили три типа. Первый - минимальный однострочник, содержащий лишь конструкцию eval() с параметром из POST-запроса. Этот вариант возвращает HTTP 404 для маскировки своей активности и является типичным для массовой эксплуатации свежих уязвимостей. Второй - полнофункциональный веб-шелл размером около 150 КБ, замаскированный под легитимный плагин CMSmap. Внутри него находится атакующая платформа с графическим интерфейсом, защитой паролем, возможностями работы с файлами, базами данных, сканирования портов, пакетного внедрения кода и несколькими модулями для повышения привилегий, включая эксплуатацию UDF в MySQL. Полезная нагрузка зашифрована через конкатенацию шестнадцатеричных строк и сжатие gzip с кодированием base64. Третий вариант представляет собой веб-шелл, который регистрирует собственный REST API-эндпоинт с разрешающим колбэком __return_true. Через этот эндпоинт злоумышленник отправляет закодированную команду, которая исполняется на сервере, а результат возвращается в формате JSON.

Для обнаружения эксплуатации специалисты рекомендуют отслеживать HTTP-ответы 207 или 200 на запросы к пакетным эндпоинтам REST API (/wp-json/batch/v1 или /?rest_route=/batch/v1). Такие ответы с высокой достоверностью указывают на успешную атаку. Также показательными являются пользовательские агенты, содержащие строки wp2shell или rezwp2shell, - они характерны для специализированных фреймворков эксплуатации.

Уязвимыми считаются версии WordPress Core 6.9.0-6.9.4 и 7.0.0-7.0.1 (полная цепочка RCE), а также версии 6.8.0-6.8.5 (только SQL-инъекция CVE-2026-60137). Организациям рекомендуется в первую очередь установить исправления, выпущенные разработчиками. В качестве временной меры защиты подойдут межсетевые экраны веб-приложений (WAF) с правилами, блокирующими подозрительные запросы к пакетным эндпоинтам. Ситуация остаётся напряжённой: массовое сканирование интернета продолжается, а количество развёрнутых веб-шеллов продолжает расти.