Explorações públicas já foram divulgadas para as vulnerabilidades críticas de execução remota de código conhecidas como “wp2shell”, que afetam o WordPress Core e tornam indispensável que administradores corrijam seus sites imediatamente.
O ataque wp2shell é composto por duas falhas, identificadas como
CVE-2026-63030
e
CVE-2026-60137
, que podem ser combinadas para permitir execução remota de código sem autenticação em instalações do WordPress nas versões 6.9.x e 7.0.x.
As falhas foram descobertas por Adam Kues, da Searchlight Cyber, braço de gestão de superfície de ataque da empresa, que afirma que um invasor sem autenticação pode explorá-las em uma instalação padrão do WordPress. “A equipe de pesquisa de segurança da Searchlight Cyber descobriu uma RCE sem autenticação no WordPress Core”, explicou a empresa. “O ataque não tem pré-requisitos e pode ser explorado por um usuário anônimo em uma instalação padrão do WordPress, sem plugins.”
A Searchlight Cyber estima que mais de 500 milhões de sites usem WordPress, o que dá à vulnerabilidade um impacto potencialmente enorme, especialmente agora que provas de conceito públicas foram divulgadas.
Diante da gravidade das vulnerabilidades, a equipe de segurança do WordPress habilitou atualizações automáticas de segurança forçadas para instalações compatíveis que executam as versões afetadas, orientando os responsáveis pelos sites a atualizar imediatamente para o WordPress 7.0.2 ou 6.9.5. “Como esta é uma versão de segurança, recomenda-se atualizar seus sites imediatamente”, informou o WordPress em seu comunicado de segurança. “Devido à gravidade, a equipe do WordPress.org habilitou atualizações forçadas por meio do sistema de autoatualização para sites que executam as versões afetadas.”
O problema não é uma única vulnerabilidade, mas sim duas falhas independentes que podem ser combinadas em uma cadeia de execução remota de código sem autenticação. A primeira falha,
CVE-2026-63030
, é uma vulnerabilidade de confusão de rota em lote na REST API introduzida no WordPress 6.9. Segundo o comunicado no GitHub, ela pode ser combinada com a falha de injeção SQL para alcançar execução remota de código. A segunda vulnerabilidade,
CVE-2026-60137
, é uma falha de injeção SQL no parâmetro `author__not_in` do `WP_Query`. O WordPress a descreve como uma vulnerabilidade de alta gravidade que afeta o WordPress 6.8 e versões posteriores.
De acordo com os comunicados do WordPress, a cadeia completa de RCE afeta o WordPress 6.9.0 até 6.9.4 e o WordPress 7.0.0 até 7.0.1. A vulnerabilidade de injeção SQL também afeta o WordPress 6.8.0 até 6.8.5, mas não pode ser combinada para execução remota de código porque o bug de confusão de rota em lote da REST API foi introduzido apenas no WordPress 6.9. A cadeia completa de ataque do wp2shell foi corrigida no WordPress 6.9.5 e 7.0.2.
A Searchlight Cyber está retendo detalhes técnicos para dar tempo aos administradores de aplicar as correções, e criou o site wp2shell.com, que permite aos administradores testar se suas instalações do WordPress estão vulneráveis. Por enquanto, a empresa disponibiliza apenas um verificador para que os administradores testem suas próprias instâncias.
Para organizações que não conseguem atualizar imediatamente, a Searchlight Cyber recomenda instalar um plugin que bloqueie totalmente o acesso anônimo à REST API ou bloquear `/wp-json/batch/v1` e `?rest_route=/batch/v1` no nível do firewall de aplicação web. A empresa alerta que essas medidas de mitigação devem ser usadas apenas de forma temporária, até que os sistemas sejam atualizados.
A Cloudflare também anunciou que implantou proteções de firewall de aplicação web para ambas as vulnerabilidades em todos os planos, incluindo contas gratuitas, para sites protegidos por sua plataforma. Segundo a Cloudflare, as regras bloqueiam tentativas de exploração tanto da falha de injeção SQL,
CVE-2026-60137
, quanto da vulnerabilidade de confusão de rota em lote da REST API,
CVE-2026-63030
. “As proteções de firewall de aplicação web reduzem a exposição enquanto os clientes atualizam, mas não substituem a correção”, afirmou a Cloudflare.
Embora a Searchlight Cyber tenha adiado a divulgação de detalhes técnicos para dar tempo aos administradores, múltiplas provas de conceito públicas passaram a ser publicadas no GitHub. Algumas explorações disponíveis publicamente combinam as duas vulnerabilidades para extrair hashes de senhas do WordPress por meio de injeção SQL, depois quebrar a senha de um administrador para fazer login, enviar um plugin malicioso e executar comandos. Outras provas de conceito, porém, afirmam conseguir execução remota de código sem autenticação, sem exigir credenciais de administrador, o que está mais alinhado à descrição das falhas feita pela Searchlight Cyber.
A Searchlight Cyber foi contatada para confirmar se a cadeia de ataque realmente não exige senha de administrador. A empresa de segurança watchTowr afirma que já observou exploração em ambiente real após a divulgação das explorações públicas.
“O WordPress recebe muitas críticas por segurança.
Mas a realidade é que uma vulnerabilidade de injeção SQL ou de execução remota de código altamente impactante e sem autenticação no WordPress core é, na verdade, algo bem raro”, disse Benjamin Harris, CEO da watchTowr. “É exatamente isso que torna este caso diferente e explica por que todos estão correndo para corrigir antes que a exploração em larga escala se torne realidade.
A equipe da watchTowr já está vendo explorações de prova de conceito em circulação, e começamos a observar os primeiros sinais de exploração em ambiente real.”
Diante da disponibilidade de provas de conceito públicas e dos primeiros sinais relatados de exploração em ambiente real, os administradores devem garantir a atualização de seus sites para o WordPress 7.0.2 ou 6.9.5 o mais rápido possível.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...