wp2shell представлява комбинация от 2 уязвимости за WordPress, които като бъдат екслоатирани водят до unauthenticated remote code execution (RCE) и могат да доведат до компрометирането на уязвими уебсайтове.
wp2shell използва критична pre-authentication remote code execution грешка в ядрото на WordPress, а не на някой от plug-in-те или теми за WordPress.
Уязвимостите, които използва wp2shell са SQL инжекция в author__not_in параметъра на WP_Query (CVE-2026-60137), комбинирана с REST API batch route confusion в /wp-json/batch/v1 (CVE-2026-63030).
Уязвимите версии на WordPress са 6.9.0 – 6.9.4 и 7.0.0 – 7.0.1.
CERT България Ви препоръчва ако използвате засегнатите версии на WordPress да ги актуализирате възможно най-скоро. Ако не можете да актуализирате веднага, тогава блокирайте /wp-json/batch/v1 and ?rest_route=/batch/v1 през WAF.
За повече информация:
https://labs.eye.security/wp2shell-defenders-guide/
https://socradar.io/blog/wp2shell-wordpress-rce-cve-2026-63030/
https://socradar.io/free-tools/wp2shell-checker