Una catena di due falle di sicurezza in WordPress, CVE-2026-63030 e CVE-2026-60137, consente agli aggressori di ottenere l'esecuzione di codice da remoto su installazioni non aggiornate, bypassando la necessità di credenziali.
Una grave minaccia incombe sui siti web basati su WordPress, la piattaforma di gestione dei contenuti più diffusa al mondo. Ricercatori di sicurezza hanno identificato una catena di vulnerabilità, soprannominata WP2Shell, che permette ad attaccanti non autenticati di compromettere i siti e ottenere l'esecuzione di codice da remoto (RCE). La gravità della situazione è accentuata dal fatto che l'attacco non richiede il furto di password e sfrutta funzionalità core di WordPress, rendendo vulnerabili anche le installazioni che non utilizzano plugin di terze parti.
La vulnerabilità sfrutta due difetti distinti ma interconnessi. Il primo, identificato come CVE-2026-63030, risiede nel controller batch della REST API di WordPress, accessibile tramite l'endpoint /wp-json/batch/v1. Questo componente è progettato per gestire richieste API multiple raggruppate in un unico payload JSON. Tuttavia, richieste annidate e opportunamente costruite possono confondere la risoluzione delle rotte, permettendo ad attaccanti privi di autenticazione di accedere a gestori di richieste che normalmente richiederebbero credenziali valide.
Una volta ottenuto questo punto di accesso iniziale, gli aggressori sfruttano la seconda vulnerabilità, CVE-2026-60137, una falla di SQL injection legata all'endpoint dei post. Nello specifico, un parametro chiamato author_exclude viene mappato internamente all'argomento author__not_in della funzione WP_Query. Una mancata sanificazione dell'input malevolo consente agli attaccanti di manipolare le query al database.
La vera pericolosità di WP2Shell risiede nella transizione dalla manipolazione del database all'esecuzione di codice arbitrario. Analisti di Akamai hanno descritto come l'attacco possa sfruttare meccanismi di object caching e il comportamento di post-elaborazione di WordPress per alterare lo stato dell'applicazione. Questo permette agli aggressori di assumere un contesto amministrativo e creare un account privilegiato, il tutto senza dover decifrare hash di password.
I ricercatori di Seqrite hanno osservato tentativi di sfruttamento attivi. Sebbene le osservazioni iniziali non abbiano confermato il dispiegamento di web shell, F5 Labs ha rilevato tentativi di attacco contro i propri sensori, caratterizzati da richieste batch annidate e SQL injection basata su UNION. La ripetitività di questi tentativi, provenienti dallo stesso indirizzo IP, suggerisce un'attività automatizzata piuttosto che sondaggi isolati.
La catena completa di vulnerabilità WP2Shell colpisce le versioni di WordPress comprese tra 6.9.0 e 6.9.4 e 7.0.0 e 7.0.1. Le versioni da 6.8.0 a 6.8.5 sono vulnerabili alla sola SQL injection (CVE-2026-60137) ma non all'intera catena di attacco. Le versioni precedenti alla 6.8 non sono interessate da questi specifici problemi.
WordPress ha rilasciato aggiornamenti di sicurezza correttivi il 17 luglio, introducendo patch nelle versioni 6.8.6, 6.9.5 e 7.0.2. L'azienda ha inoltre abilitato gli aggiornamenti automatici forzati per le installazioni interessate, nel tentativo di mitigare rapidamente la minaccia.
Nonostante gli aggiornamenti automatici, gli amministratori di sistema sono fortemente incoraggiati a verificare che le patch siano state effettivamente applicate sui propri siti. La priorità assoluta deve essere l'aggiornamento a una versione supportata e patchata.
Le indagini su potenziali compromissioni dovrebbero concentrarsi su:
Dal punto di vista del rilevamento di rete, è consigliabile monitorare le richieste POST verso /wp-json/batch/v1 e rotte alternative come /?rest_route=/batch/v1 e /index.php?rest_route=/batch/v1. La presenza di array di richieste annidate, il parametro author_exclude, parole chiave SQL, valori esadecimali e caratteri di codifica per la manipolazione delle query sono indicatori di attività sospetta.
Per una protezione aggiuntiva, dove operativamente possibile, si raccomanda di limitare l'accesso non autenticato alle funzionalità REST API interessate. Tuttavia, questa misura non sostituisce l'importanza fondamentale dell'applicazione delle patch e dell'indagine approfondita sui sistemi potenzialmente compromessi.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
