Offentlige exploits er nå tilgjengelige for to alvorlige sårbarheter i WordPress Core, som samlet er kjent som wp2shell.
Angripere kan kombinere WordPress wp2shell-sårbarhetene for å kjøre skadelig kode på sårbare nettsteder uten autentisering. Sikkerhetsforskere har også oppdaget tidlige tegn på utnyttelse i reelle angrep.
Den fullstendige angrepskjeden påvirker WordPress 6.9.0 til 6.9.4 og versjonene 7.0.0 til 7.0.1. Administratorer bør oppdatere umiddelbart til WordPress 6.9.5 eller 7.0.2.
To sårbarheter skaper wp2shell-angrepet
wp2shell-angrepet bygger ikke på én sikkerhetsfeil. I stedet kombinerer det to separate sårbarheter i WordPress Core.
Forskere sporer den første sårbarheten som CVE-2026-63030. Den gjelder forvirring i en batch-rute i WordPress REST API.
Denne feilen dukket først opp i WordPress 6.9. Angripere kan kombinere den med en separat SQL-injeksjonssårbarhet for å oppnå ekstern kjøring av kode.
Den andre sårbarheten, CVE-2026-60137, påvirker parameteren author__not_in i WP_Query. Den gjør det mulig for angripere å injisere skadelige SQL-kommandoer på sårbare nettsteder.
SQL-injeksjonsproblemet påvirker WordPress 6.8 og nyere versjoner. Angripere kan imidlertid ikke bruke det til den komplette wp2shell-kjeden med ekstern kjøring av kode på WordPress 6.8.
Dette skyldes at den nødvendige REST API-sårbarheten ikke dukket opp før i WordPress 6.9.
Angrepet krever ingen autentisering
WordPress wp2shell-sårbarhetene utgjør en særlig alvorlig risiko fordi angripere kan utnytte dem eksternt uten å logge inn.
Ifølge forskerne som oppdaget sårbarhetene, kan en anonym angriper rette seg mot en standardinstallasjon av WordPress. Angrepet krever verken sårbare utvidelser eller spesielle konfigurasjonsinnstillinger.
Derfor kan selv nettsteder med et vanlig WordPress-oppsett være utsatt.
En vellykket utnyttelse kan gjøre det mulig for en angriper å kjøre kommandoer på den underliggende serveren. Derfra kan inntrengeren installere skadevare, stjele informasjon, endre nettstedets innhold eller opprette varig tilgang.
Angriperen kan også bruke det kompromitterte nettstedet til å spre skadevare eller rette angrep mot besøkende.
Offentlige exploits øker trusselen
Flere proof-of-concept-exploits for WordPress wp2shell-sårbarhetene har blitt publisert offentlig.
Noen versjoner bruker SQL-injeksjon til å hente ut WordPress-passordhasher. Angripere kan deretter forsøke å knekke et administratorpassord, logge inn i kontrollpanelet og laste opp en ondsinnet utvidelse.
Når utvidelsen er installert, kan den kjøre kommandoer på serveren.
Andre offentlige exploits hevder imidlertid at de kan oppnå ekstern kjøring av kode uten å hente administratoropplysninger. Denne metoden samsvarer med den opprinnelige beskrivelsen av sårbarhetskjeden.
Sikkerhetsforskere har ikke bekreftet at alle offentlige exploits fungerer som påstått. Likevel har de allerede observert tidlige tegn på utnyttelse mot reelle nettsteder.
Tilgjengeligheten av offentlig kode gjør utbredte angrep mer sannsynlige. Kriminelle kan nå studere og endre eksisterende exploits i stedet for å utvikle et angrep fra bunnen av.
Berørte WordPress-versjoner
Den fullstendige wp2shell-kjeden for ekstern kjøring av kode påvirker følgende versjoner:
- WordPress 6.9.0 til 6.9.4
- WordPress 7.0.0 til 7.0.1
SQL-injeksjonssårbarheten påvirker også WordPress 6.8.0 til 6.8.5. Disse versjonene inneholder imidlertid ikke REST API-feilen som kreves for det komplette angrepet med ekstern kjøring av kode.
WordPress rettet begge sårbarhetene i versjonene 6.9.5 og 7.0.2.
På grunn av alvorlighetsgraden har WordPress-sikkerhetsteamet aktivert tvungne automatiske oppdateringer for støttede nettsteder som kjører berørte versjoner.
Nettstedeiere bør imidlertid ikke anta at oppdateringen ble fullført. Administratorer bør kontrollere den installerte versjonen manuelt.
Midlertidige beskyttelser er tilgjengelige
Organisasjoner som ikke kan oppdatere umiddelbart, kan innføre midlertidige beskyttelser.
Ett alternativ er å blokkere anonym tilgang til WordPress REST API. Denne metoden kan imidlertid påvirke utvidelser eller nettstedfunksjoner som er avhengige av API-et.
Administratorer kan også blokkere følgende stier gjennom en brannmur for nettapplikasjoner:
/wp-json/batch/v1?rest_route=/batch/v1
Disse tiltakene kan redusere eksponeringen mot REST API-delen av angrepskjeden. De erstatter imidlertid ikke den offisielle sikkerhetsoppdateringen.
Enkelte leverandører av webinfrastruktur har også innført brannmurregler for å blokkere utnyttelsesforsøk. Beskyttelsene dekker både SQL-injeksjonsproblemet og sårbarheten i REST API-batch-ruten.
Nettsteder som ligger bak en brannmur, bør likevel installere den oppdaterte WordPress-versjonen.
Administratorer bør oppdatere umiddelbart
Nettstedeiere bør oppdatere til WordPress 6.9.5 eller 7.0.2 så snart som mulig.
Etter oppdateringen bør administratorer kontrollere om angripere fikk tilgang til nettstedet før sikkerhetsoppdateringen ble installert. Mistenkelige administratorkontoer, endrede filer, ukjente utvidelser og uventede serverprosesser kan tyde på en kompromittering.
Sikkerhetsteam bør også gjennomgå webserverlogger for uvanlige REST API-forespørsler. I tillegg bør de undersøke databaseaktivitet og nylige endringer i WordPress-filer.
Når offentlige exploits sirkulerer og angrep begynner å dukke opp, skaper en forsinket oppdatering en unødvendig risiko.
0 responses to “WordPress wp2shell-sårbarheter blir aktivt utnyttet”