Специалисты по кибербезопасности зафиксировали массовую эксплуатацию связки из двух уязвимостей в WordPress, которую окрестили wp2shell. Комбинация багов позволяет получить удалённое выполнение кода без какой-либо авторизации — причём на самой обычной, «коробочной» установке движка, без единого установленного плагина. Публичный proof-of-concept уже разошёлся по сети, и сканирования уязвимых сайтов идут по всему интернету.
В основе цепочки лежит CVE-2026-63030 — ошибка «путаницы маршрутов» в пакетном (batch) эндпоинте REST API. Баг позволяет обходить проверку прав доступа и вызывать внутренние обработчики так, будто запрос пришёл от авторизованного пользователя. Именно эта дыра служит точкой входа в систему. Компания Cloudflare уточнила: до полноценного RCE эксплуатация доходит только в тех случаях, когда на сервере не используется постоянный объектный кэш (persistent object cache). Уязвимость затрагивает версии WordPress начиная с 6.9 — именно с этой версии становится возможным удалённое выполнение кода.
Вторая часть цепочки — CVE-2026-60137, классическая SQL-инъекция. Проблема кроется в неправильной обработке параметра author__not_in внутри функции WP_Query. Если недоверенные данные передаются через плагин или тему, злоумышленник может сформировать запрос так, что тот изменит структуру SQL-запроса к базе данных — и получит доступ к данным, которые видеть не должен был. Эта уязвимость присутствует начиная с версии 6.8. Инженер по безопасности компании Intruder Бен Марр подробно разбирал механику обеих частей цепочки: как REST API обходится через путаницу маршрутов, и как именно возникает инъекция при недостаточной санации параметра.
Вместе эти два бага дают злоумышленнику возможность получить RCE на любом сайте, вышедшем с декабря 2025 года, без установленных плагинов — и всё это одним-единственным HTTP-запросом.
Обнаружила цепочку компания Searchlight Cyber. Для этого использовалась модель OpenAI GPT 5.6 Sol, и на выявление проблемы ушло более 10 часов работы. В компании отметили: «Атака не требует никаких предварительных условий и может быть выполнена анонимным пользователем на стандартной установке WordPress без плагинов». Технические подробности эксплойта пока не раскрываются целиком — из-за серьёзности угрозы.
На практике атакующие используют сразу несколько вариантов SQL-инъекции — слепую (blind), основанную на UNION и булеву (boolean-based). Активность сместилась от узконаправленного сканирования именно WordPress-сайтов к массовому сканированию всего интернета. Запросы, которые фиксируют системы мониторинга, совпадают с публично доступными PoC-эксплойтами. Основатель и генеральный директор компании KEVIntel Райан Дьюхерст объяснил, что использование ИИ сделало воспроизведение уязвимости и создание рабочих PoC «тривиальной задачей», тем самым резко снизив технический порог входа для разработки эксплойтов.
Телеметрия KEVIntel зафиксировала 13 уникальных IP-адресов, связанных с эксплуатацией CVE-2026-63030. География источников довольно широкая: Швейцария, Германия, Великобритания, Индонезия, Литва, Нидерланды и Сингапур.
Данные компании Wiz (принадлежит Google) рисуют тревожную картину масштаба проблемы. На момент публикации информации об уязвимостях 60% организаций, использующих WordPress, имели хотя бы один уязвимый экземпляр системы. При этом 25% организаций держали уязвимый сервер, доступный напрямую из интернета. После начала массового применения патчей эти цифры начали снижаться, но исходный масштаб проблемы говорит сам за себя.
Среди обнаруженных полезных нагрузок исследователи выделяют веб-шелл размером 150 килобайт, замаскированный под легитимный плагин безопасности с названием "CMSmap". По сути это полноценная платформа для атак — она умеет управлять файлами, работать с базой данных, сканировать порты, внедрять код пакетно и включает несколько модулей повышения привилегий, в том числе через эксплуатацию MySQL UDF (пользовательских функций). Отдельно зафиксирован троян удалённого доступа Overlord RAT, написанный на Golang — как минимум в одном случае злоумышленник неоднократно пытался установить его на скомпрометированный сервер. Пока признаков латерального перемещения по сети или эксфильтрации данных не обнаружено, но мониторинг продолжается.
Дьюхерст подчёркивает: «С нашей точки зрения, охватывающей глобальную клиентскую базу, мы наблюдаем широкое воздействие этой уязвимости на организации всех размеров и во всех отраслях». По его словам, эксплуатация действительно расширилась от точечного сканирования к массовому охвату всего интернета. При этом он указывает и на смягчающие факторы: WordPress уже несколько лет поддерживает автоматические фоновые обновления для критических релизов безопасности, а некоторые провайдеры инфраструктуры получили предварительное уведомление и успели быстро развернуть виртуальные патчи. Это снизило риски для сайтов с включёнными автообновлениями или защищённых соответствующими правилами WAF.
Но есть и предупреждение — сайты с отключёнными, неподдерживаемыми или неудавшимися автообновлениями по-прежнему остаются уязвимыми. Учитывая масштаб установочной базы WordPress по всему миру, множество сайтов до сих пор могут оставаться непропатченными. Дьюхерст настаивает: если сайт был уязвим на момент публикации PoC, недостаточно просто установить обновление — нужно проверить систему на индикаторы компрометации (IOC), потому что сам факт патча не гарантирует, что взлом уже не произошёл.
Специалисты рекомендуют администраторам проверять все установки WordPress вне зависимости от статуса обновлений — искать новые или неожиданные учётные записи администраторов, вредоносные плагины вроде поддельного "CMSmap" и любые другие подозрительные файлы. Патчи нужно ставить немедленно, особенно если автообновления были отключены или не сработали. Дополнительным слоем защиты может служить WAF. Отдельное внимание стоит уделить признакам присутствия Overlord RAT или похожих веб-шеллов — их обнаружение может говорить о том, что взлом уже произошёл до установки патча.
В основе цепочки лежит CVE-2026-63030 — ошибка «путаницы маршрутов» в пакетном (batch) эндпоинте REST API. Баг позволяет обходить проверку прав доступа и вызывать внутренние обработчики так, будто запрос пришёл от авторизованного пользователя. Именно эта дыра служит точкой входа в систему. Компания Cloudflare уточнила: до полноценного RCE эксплуатация доходит только в тех случаях, когда на сервере не используется постоянный объектный кэш (persistent object cache). Уязвимость затрагивает версии WordPress начиная с 6.9 — именно с этой версии становится возможным удалённое выполнение кода.
Вторая часть цепочки — CVE-2026-60137, классическая SQL-инъекция. Проблема кроется в неправильной обработке параметра author__not_in внутри функции WP_Query. Если недоверенные данные передаются через плагин или тему, злоумышленник может сформировать запрос так, что тот изменит структуру SQL-запроса к базе данных — и получит доступ к данным, которые видеть не должен был. Эта уязвимость присутствует начиная с версии 6.8. Инженер по безопасности компании Intruder Бен Марр подробно разбирал механику обеих частей цепочки: как REST API обходится через путаницу маршрутов, и как именно возникает инъекция при недостаточной санации параметра.
Вместе эти два бага дают злоумышленнику возможность получить RCE на любом сайте, вышедшем с декабря 2025 года, без установленных плагинов — и всё это одним-единственным HTTP-запросом.
Обнаружила цепочку компания Searchlight Cyber. Для этого использовалась модель OpenAI GPT 5.6 Sol, и на выявление проблемы ушло более 10 часов работы. В компании отметили: «Атака не требует никаких предварительных условий и может быть выполнена анонимным пользователем на стандартной установке WordPress без плагинов». Технические подробности эксплойта пока не раскрываются целиком — из-за серьёзности угрозы.
На практике атакующие используют сразу несколько вариантов SQL-инъекции — слепую (blind), основанную на UNION и булеву (boolean-based). Активность сместилась от узконаправленного сканирования именно WordPress-сайтов к массовому сканированию всего интернета. Запросы, которые фиксируют системы мониторинга, совпадают с публично доступными PoC-эксплойтами. Основатель и генеральный директор компании KEVIntel Райан Дьюхерст объяснил, что использование ИИ сделало воспроизведение уязвимости и создание рабочих PoC «тривиальной задачей», тем самым резко снизив технический порог входа для разработки эксплойтов.
Телеметрия KEVIntel зафиксировала 13 уникальных IP-адресов, связанных с эксплуатацией CVE-2026-63030. География источников довольно широкая: Швейцария, Германия, Великобритания, Индонезия, Литва, Нидерланды и Сингапур.
Данные компании Wiz (принадлежит Google) рисуют тревожную картину масштаба проблемы. На момент публикации информации об уязвимостях 60% организаций, использующих WordPress, имели хотя бы один уязвимый экземпляр системы. При этом 25% организаций держали уязвимый сервер, доступный напрямую из интернета. После начала массового применения патчей эти цифры начали снижаться, но исходный масштаб проблемы говорит сам за себя.
Среди обнаруженных полезных нагрузок исследователи выделяют веб-шелл размером 150 килобайт, замаскированный под легитимный плагин безопасности с названием "CMSmap". По сути это полноценная платформа для атак — она умеет управлять файлами, работать с базой данных, сканировать порты, внедрять код пакетно и включает несколько модулей повышения привилегий, в том числе через эксплуатацию MySQL UDF (пользовательских функций). Отдельно зафиксирован троян удалённого доступа Overlord RAT, написанный на Golang — как минимум в одном случае злоумышленник неоднократно пытался установить его на скомпрометированный сервер. Пока признаков латерального перемещения по сети или эксфильтрации данных не обнаружено, но мониторинг продолжается.
Дьюхерст подчёркивает: «С нашей точки зрения, охватывающей глобальную клиентскую базу, мы наблюдаем широкое воздействие этой уязвимости на организации всех размеров и во всех отраслях». По его словам, эксплуатация действительно расширилась от точечного сканирования к массовому охвату всего интернета. При этом он указывает и на смягчающие факторы: WordPress уже несколько лет поддерживает автоматические фоновые обновления для критических релизов безопасности, а некоторые провайдеры инфраструктуры получили предварительное уведомление и успели быстро развернуть виртуальные патчи. Это снизило риски для сайтов с включёнными автообновлениями или защищённых соответствующими правилами WAF.
Но есть и предупреждение — сайты с отключёнными, неподдерживаемыми или неудавшимися автообновлениями по-прежнему остаются уязвимыми. Учитывая масштаб установочной базы WordPress по всему миру, множество сайтов до сих пор могут оставаться непропатченными. Дьюхерст настаивает: если сайт был уязвим на момент публикации PoC, недостаточно просто установить обновление — нужно проверить систему на индикаторы компрометации (IOC), потому что сам факт патча не гарантирует, что взлом уже не произошёл.
Специалисты рекомендуют администраторам проверять все установки WordPress вне зависимости от статуса обновлений — искать новые или неожиданные учётные записи администраторов, вредоносные плагины вроде поддельного "CMSmap" и любые другие подозрительные файлы. Патчи нужно ставить немедленно, особенно если автообновления были отключены или не сработали. Дополнительным слоем защиты может служить WAF. Отдельное внимание стоит уделить признакам присутствия Overlord RAT или похожих веб-шеллов — их обнаружение может говорить о том, что взлом уже произошёл до установки патча.