WP2Shell Scanner

Una herramienta de auditoría de seguridad de solo lectura y no destructiva que escanea instalaciones de WordPress en busca de la cadena de vulnerabilidades wp2shell.

Resumen

WP2Shell Scanner es una utilidad bash que busca recursivamente en un árbol de directorios instalaciones de WordPress y comprueba si cada sitio ejecuta una versión del núcleo vulnerable a las vulnerabilidades wp2shell (CVE-2026-63030 + CVE-2026-60137).

Esta herramienta está diseñada para administradores de sistemas y equipos de seguridad para identificar rápidamente instancias de WordPress que requieren parches urgentes.

Qué escanea

El escáner identifica instalaciones de WordPress localizando archivos wp-includes/version.php dentro del directorio objetivo y todos los subdirectorios. Para cada instalación encontrada, realiza lo siguiente:

• Extrae el número de versión de WordPress
• Comprueba si la versión se encuentra dentro de un rango vulnerable conocido
• Clasifica el tipo de vulnerabilidad y su gravedad
• Genera tanto salida en consola como informes CSV opcionales

Versiones vulnerables

La herramienta detecta tres niveles de gravedad de vulnerabilidad:

RCE completo (Ejecución remota de código no autenticada)

• WordPress 6.9.0 – 6.9.4: Contiene ambos CVE (inyección SQL + confusión de rutas de lote de la API REST)
  • Solución: Actualice a 6.9.5 o posterior
  • Urgencia: 🔴 CRÍTICA – Aplique el parche inmediatamente
• WordPress 7.0.0 – 7.0.1: Contiene ambos CVE (inyección SQL + confusión de rutas de lote de la API REST)
  • Solución: Actualice a 7.0.2 o posterior
  • Urgencia: 🔴 CRÍTICA – Aplique el parche inmediatamente

Solo inyección SQL

• WordPress 6.8.0 – 6.8.5: Vulnerabilidad de inyección SQL (CVE-2026-60137) sin la confusión de rutas de lote de la API REST
  • Solución: Actualice a 6.8.6 o posterior
  • Urgencia: 🟡 ALTA – Aplique el parche, pero con menor prioridad que las versiones con RCE
  • Nota: No explotable mediante la cadena completa de RCE no autenticado, pero sigue siendo una vulnerabilidad real

Seguro

• Todas las demás versiones se consideran seguras y no parecen estar afectadas

Configuración

Antes de usar el escáner, haga ejecutable el script:

chmod +x wp2shell-scanner.sh

Uso

Escaneo básico

./wp2shell-scanner.sh /path/to/scan

Escanea el directorio especificado y todos los subdirectorios en busca de instalaciones de WordPress y muestra los resultados en la consola.

Generar informe CSV

./wp2shell-scanner.sh /path/to/scan --csv report.csv

Realiza el mismo escaneo, pero además guarda los resultados en report.csv para su posterior análisis o integración con otras herramientas.

Ejemplos comunes

# Scan entire web root
./wp2shell-scanner.sh /var/www

# Scan with CSV export
./wp2shell-scanner.sh /home/users --csv wordpress-audit.csv

# Scan web server directory with sudo (if needed for permission)
sudo ./wp2shell-scanner.sh /home

Salida

Salida de consola

La herramienta muestra los resultados con indicadores de estado codificados por colores:

• [!] VULNERABLE - FULL RCE (Rojo): Cadena de RCE completo detectada – aplique el parche inmediatamente
• [!] VULNERABLE - SQLi only (Amarillo): Solo inyección SQL – aplique el parche pronto
• [OK] (Verde): La versión es segura
• [?] (Amarillo): No se pudo determinar la versión

Ejemplo:

Scanning for WordPress installs under: /var/www
----------------------------------------------------------------------
[!] VULNERABLE - FULL RCE /var/www/site1 -> WP 6.9.3 (patch to 6.9.5 or 7.0.2 immediately)
[!] VULNERABLE - SQLi only /var/www/site2 -> WP 6.8.4 (patch to 6.8.6; no full RCE chain on this branch)
[OK] /var/www/site3 -> WP 7.1.0
[?] /var/www/site4 -> could not determine version
----------------------------------------------------------------------
Scan complete.
Sites found:          4
  Vulnerable (RCE):   1
  Vulnerable (SQLi):  1
  Safe:               1
  Unknown:            1

Salida CSV

Al usar --csv, se crea un archivo con el siguiente formato:

path,version,status
"/var/www/site1",6.9.3,VULNERABLE (RCE)
"/var/www/site2",6.8.4,VULNERABLE (SQLi)
"/var/www/site3",7.1.0,SAFE
"/var/www/site4",unknown,UNKNOWN

Este formato es adecuado para importar en hojas de cálculo, paneles de seguridad o flujos de trabajo automatizados de remediación.