CMS / DATA PUBLICZNEGO OGŁOSZENIA
WP2Shell: wykonanie kodu w rdzeniu WordPressa
Połączenie dwóch błędów rdzenia WordPressa otworzyło drogę do ataku bez logowania i bez dodatkowych wtyczek.
Co się wydarzyło?
17 lipca 2026 roku WordPress opublikował poprawki dwóch podatności, których połączenie
nazwano WP2Shell. CVE-2026-63030 dotyczyła błędnego rozpoznawania tras w mechanizmie
zbiorczych żądań REST API. Zestawiona z SQL injection w parametrze
author__not_in klasy WP_Query (CVE-2026-60137) umożliwiała
zdalne wykonanie kodu w podatnym środowisku.
Badacz Adam Kues z Assetnote / Searchlight Cyber opisał atak na standardową instalację bez logowania i bez dodatkowych wtyczek. Zabezpieczenie samego formularza logowania nie zamykało więc drogi do tej podatności.
Których wersji dotyczył problem?
Pełny łańcuch obejmował WordPress 6.9.0-6.9.4 oraz 7.0.0-7.0.1. Historyczne poprawki wydano w 6.9.5 i 7.0.2, a także w 7.1 beta2. Gałąź 6.8.0-6.8.5 była objęta podatnością SQL injection, naprawioną w 6.8.6. Nie oznacza to, że miała tę samą drogę do wykonania kodu co 6.9 i 7.0.
Co to oznacza dla administratora?
Brak wtyczek nie zwalnia z aktualizacji rdzenia CMS. Trzeba potwierdzić wersję aplikacji, wdrożenie poprawki oraz stan plików, kont i bazy po ewentualnym incydencie. Sama aktualizacja nie usuwa wcześniej pozostawionego dostępu napastnika.
Autorzy wskazywali blokowanie anonimowego dostępu do mechanizmu batch API jako środek tymczasowy. Taka blokada może zakłócić prawidłowe funkcje strony; wymaga sprawdzenia konfiguracji i nie zastępuje poprawki producenta.
WP2Shell a PHP2Shell
WP2Shell dotyczy rdzenia WordPressa. PHP2Shell to osobna rodzina podatności interpretera PHP. W utrzymaniu serwisu trzeba aktualizować obie warstwy: aplikację i jej środowisko wykonawcze.