wp2shell: Vulnerabilitatea critică WordPress și ce trebuie să faci acum

wp2shell este numele dat unui lanț critic de vulnerabilități din WordPress Core. Problemele sunt identificate prin CVE-2026-63030 și CVE-2026-60137. Combinate, ele pot permite executarea de cod pe server de către un atacator neautentificat, inclusiv pe o instalare WordPress standard, fără un plugin vulnerabil.

WordPress a publicat corecțiile pe 17 iulie 2026 și recomandă actualizarea imediată. Din cauza severității, echipa WordPress a activat și actualizări automate forțate pentru versiunile afectate. Totuși, o actualizare automată poate eșua, de aceea verificarea manuală rămâne esențială.

Ce este wp2shell?

wp2shell este o vulnerabilitate de tip pre-authentication remote code execution, prescurtat RCE. În termeni simpli, un atacator poate încerca să determine serverul să execute instrucțiuni fără să dețină un cont WordPress și fără să cunoască o parolă.

Lanțul implică două probleme distincte:

• CVE-2026-63030: o confuzie de rută în endpointul REST API pentru cereri batch;
• CVE-2026-60137: o vulnerabilitate SQL asociată parametrului author__not_in din WP_Query.

Advisory-ul oficial WordPress descrie combinația ca fiind capabilă să conducă la SQL injection și remote code execution. CVE-2026-63030 are un scor CVSS 3.1 de 9,8 atribuit de CNA WPScan, ceea ce îl plasează în categoria critică.

Diferența față de multe incidente WordPress este că problema se află în nucleul platformei. Nu este necesar să existe un anumit plugin sau o temă vulnerabilă. Searchlight Cyber precizează că atacul nu are condiții prealabile și poate afecta o instalare standard.

Ce versiuni WordPress sunt afectate?

Nu este necesar să schimbi ramura majoră doar pentru această corecție. Dacă rulezi 6.9, instalează 6.9.5. Dacă rulezi 7.0, instalează 7.0.2.

Cum verifici dacă site-ul este vulnerabil

Metoda 1: verifică versiunea din WordPress

1. Autentifică-te în panoul WordPress.
2. Deschide Panou de control → Actualizări.
3. Notează versiunea WordPress instalată.
4. Dacă vezi 6.9.0–6.9.4 sau 7.0.0–7.0.1, fă un backup și actualizează imediat.
5. Reîncarcă pagina după actualizare și confirmă noul număr de versiune.

Metoda 2: verifică prin WP-CLI

Dacă ai acces SSH și știi să folosești WP-CLI, rulează:

wp core version

Pentru actualizarea nucleului și a bazei de date:

wp core update
wp core update-db

Dacă nu ești familiarizat cu terminalul, folosește panoul WordPress sau cere ajutorul administratorului tehnic. O comandă rulată în directorul greșit poate verifica altă instalare decât site-ul principal.

Metoda 3: instrumentul Searchlight Cyber

Cercetătorii au publicat instrumentul de verificare wp2shell. Acesta poate testa comportamentul instalării chiar dacă versiunea WordPress nu este afișată public.

Plan de acțiune pentru următoarea oră

1. Fă un backup complet

Salvează atât fișierele, cât și baza de date. Verifică dacă backup-ul s-a terminat și dacă fișierul poate fi accesat. Un mesaj precum „backup programat” nu confirmă că există o copie funcțională.

2. Actualizează WordPress Core

Intră în Panou de control → Actualizări și folosește butonul de actualizare. Nu descărca arhive WordPress din site-uri terțe. Pachetele oficiale sunt disponibile prin panoul WordPress și pe WordPress.org.

3. Confirmă versiunea instalată

După finalizare, deschide din nou pagina Actualizări. Confirmă că rulezi 6.9.5 sau 7.0.2, în funcție de ramura instalată. Testează apoi pagina principală, formularul de contact, autentificarea și funcțiile comerciale importante.

4. Inventariază toate instalările WordPress

Verifică site-ul de producție, staging-ul, subdomeniile, instalările de test și campaniile vechi. O instalare uitată poate utiliza același cont de hosting și poate crea un risc pentru celelalte site-uri.

5. Actualizează extensiile și temele

Aceste actualizări nu repară wp2shell, deoarece vulnerabilitatea este în WordPress Core. Ele reduc însă alte suprafețe de atac și trebuie aplicate controlat, cu backup și verificare ulterioară.

6. Verifică utilizatorii și sesiunile

Revizuiește conturile cu rol de Administrator. Elimină utilizatorii necunoscuți și schimbă parolele conturilor privilegiate dacă site-ul a rămas expus. Activează autentificarea cu doi factori și folosește parole unice.

Pentru un proces complet de prevenție, monitorizare și recuperare, consultă ghidul complet de securitate și mentenanță WordPress.

Ce faci dacă nu poți actualiza imediat

Searchlight Cyber recomandă, ca măsură temporară, blocarea accesului anonim la REST Batch API. Trebuie acoperite ambele forme ale rutei:

• /wp-json/batch/v1
• /?rest_route=/batch/v1

Blocarea poate fi realizată la nivel de WAF sau server web. Alternativ, accesul anonim la REST API poate fi restricționat temporar. Aceste măsuri pot afecta editorul WordPress și integrările care folosesc API-ul.

Cum verifici dacă site-ul a fost compromis

Actualizarea oprește exploatarea vulnerabilității, dar nu elimină automat modificările făcute înainte de update. Verifică următoarele semnale:

• administratori WordPress pe care nu îi recunoști;
• fișiere PHP noi sau modificate în wp-content/uploads/;
• pluginuri necunoscute sau pluginuri must-use pe care nu le-ai instalat;
• modificări neautorizate în wp-config.php sau .htaccess;
• sarcini cron necunoscute;
• redirecționări, pagini spam sau rezultate Google pe care nu le recunoști;
• alerte de malware de la hosting sau Google Search Console;
• cereri POST neobișnuite către ruta batch în jurnalele serverului.

Semnele de compromitere nu sunt întotdeauna vizibile. Articolul despre semnele invizibile ale unui site WordPress spart explică ce trebuie verificat înainte de a considera incidentul închis.

Dacă găsești indicii serioase, evită curățarea superficială. Izolează site-ul, păstrează jurnalele și cere o analiză tehnică. Restaurarea unei copii curate, urmată de actualizare și schimbarea credențialelor, poate fi mai sigură decât ștergerea câtorva fișiere suspecte. Pregătește din timp un plan de recuperare WordPress în caz de dezastru.

Cum funcționează atacul, fără detalii de exploatare

WordPress REST API poate grupa mai multe cereri într-o singură cerere batch. Vulnerabilitatea CVE-2026-63030 produce o confuzie între ruta validată și ruta executată. Combinată cu problema SQL CVE-2026-60137, această nealiniere poate conduce la executarea de cod la distanță.

Raportul Searchlight Cyber precizează că detaliile tehnice complete nu au fost publicate imediat, pentru a oferi administratorilor timp să actualizeze. Din același motiv, acest articol nu include payload-uri, pași de exploatare sau instrucțiuni pentru ocolirea controalelor.

Pentru proprietarul unui site, concluzia tehnică importantă este simplă: un firewall poate reduce riscul, dar corecția reală este actualizarea WordPress Core.

De ce actualizările automate nu sunt suficiente

WordPress a activat actualizări forțate pentru site-urile afectate. Acest lucru protejează multe instalări, dar nu garantează succesul pe fiecare server. Actualizarea poate eșua din cauza:

• permisiunilor incorecte pentru fișiere;
• spațiului insuficient pe disc;
• dezactivării actualizărilor automate în configurație;
• blocării scrierii de către o extensie de securitate;
• unei actualizări întrerupte;
• unei instalări vechi sau uitate care nu mai este monitorizată.

Diferența dintre actualizări automate și mentenanță WordPress este verificarea rezultatului. Mentenanța înseamnă backup testat, actualizare controlată, verificarea funcțiilor importante, monitorizare și posibilitatea de revenire.

Întrebări frecvente despre wp2shell

Ce este wp2shell?

wp2shell este numele unui lanț critic format din CVE-2026-63030 și CVE-2026-60137. Acesta poate permite executarea de cod la distanță fără autentificare pe anumite versiuni WordPress Core.

Ce versiuni WordPress sunt vulnerabile?

Sunt afectate WordPress 6.9.0–6.9.4 și 7.0.0–7.0.1. Actualizează la 6.9.5 sau 7.0.2. Ramura 6.8 este afectată doar de problema SQL separată, reparată în 6.8.6.

Sunt protejat dacă am actualizările automate activate?

Este posibil ca actualizarea să fi fost aplicată automat, dar trebuie să verifici manual versiunea. Actualizările automate pot eșua fără un semnal evident pentru vizitatorii site-ului.

Un plugin de securitate blochează wp2shell?

Nu există o garanție. Unele firewall-uri pot aplica reguli temporare, dar vulnerabilitatea se află în nucleul WordPress. Protecția recomandată este instalarea versiunii oficiale corectate.

Trebuie actualizate și site-urile de staging?

Da. Verifică toate instalările WordPress, inclusiv site-urile de test, subdomeniile și proiectele vechi. O instalare secundară poate partaja același cont de hosting cu site-ul principal.

Actualizarea repară un site deja compromis?

Nu. Actualizarea închide vulnerabilitatea, dar nu elimină automat conturile, fișierele sau sarcinile programate adăugate anterior. Un site suspect trebuie analizat și recuperat printr-un proces controlat.

Surse oficiale și tehnice

• WordPress 7.0.2 Security Release
• Raportul original Searchlight Cyber despre wp2shell
• Advisory WordPress pentru CVE-2026-63030
• Înregistrarea NVD pentru CVE-2026-63030