WP2Shell RCE

Un utilitaire d'évaluation et de scan conçu pour détecter l'exposition à la chaîne d'exploitation WP2Shell dans les installations WordPress Core, sur des cibles uniques ou de grandes listes de cibles.

⚠️ Avertissement
Ne scannez que les systèmes qui vous appartiennent ou que vous êtes autorisé à évaluer.
Le scan ou le test non autorisé de systèmes tiers est illégal. Les mainteneurs déclinent toute responsabilité en cas d'utilisation non autorisée ou de dommages collatéraux causés par cet utilitaire.

Aperçu de la vulnérabilité

WP2Shell est une chaîne critique de vulnérabilités d'exécution de code à distance (RCE) sans authentification préalable, affectant les installations WordPress Core par défaut, sans nécessiter de dépendances de plugins ni d'authentification.

Prérequis

• Runtime : Node.js version 18.0.0 ou supérieure.
• Gestionnaire de paquets : npm (inclus avec Node.js).

DÉMO

La démonstration suivante montre la preuve de concept exécutée contre un environnement WordPress local contrôlé. Elle illustre le flux de test complet et le comportement qui en résulte dans un laboratoire isolé et autorisé.

Installation

Clonez le dépôt et installez les dépendances :

git clone https://github.com/johnlodan/wp2shell-rce.git
cd wp2shell-rce
npm install

Commandes

Cible unique :

npm run scan -- -t https://google.com

Plusieurs cibles séparées par des virgules :

npm run scan -- -t https://google.com,https://github.com,https://example.com

Plusieurs cibles à partir d'un fichier :

npm run scan -- -f targets.txt

Références et divulgations

• Dépôt de preuve de concept :
  Icex0/wp2shell-poc (GitHub) – Implémentation d'exploit de preuve de concept pour la vulnérabilité WordPress de collision de routes de lot REST non authentifiée (SQLi vers RCE).

• Démonstration vidéo de la preuve de concept :
  NightR4id – WP2Shell | CVE-2026-63030 + CVE-2026-60137 Demo (YouTube) – Vidéo de démonstration montrant le flux d'exécution de la chaîne SQLi vers RCE contre une instance WordPress vulnérable.

• Analyse technique et recherche sur les menaces :

  • Recherche sur la sécurité d'Akamai : atténuation d'une chaîne RCE critique non authentifiée dans WordPress – Analyse technique approfondie de la logique de confusion de routes de l'API REST, des changesets du customizer et des stratégies d'atténuation.
  • Rapport de vulnérabilité CrowdSec : la chaîne SQLi vers RCE « WP2Shell » de WordPress (CVE-2026-63030) en escalade rapide – Rapport de surveillance de l'activité d'exploitation réelle et de suivi de la vulnérabilité.
  • Picus Security : CVE-2026-63030 et CVE-2026-60137 (WP2Shell) – le RCE WordPress expliqué – Analyse détaillée de la chaîne d'attaque et conseils de détection.

Crédits et auteurs

• Crédits : Icex0/wp2shell-poc
• Auteurs : @THEJOLOTOPROJECT