WP2Shell Scanner

A read-only, non-destructive security audit tool that scans WordPress installations for the wp2shell vulnerability chain.

Panoramica

WP2Shell Scanner è un'utilità bash che ricerca ricorsivamente un albero di directory per installazioni WordPress e verifica se ciascun sito esegue una versione core vulnerabile alle vulnerabilità wp2shell (CVE-2026-63030 + CVE-2026-60137).

Questo strumento è pensato per amministratori di sistema e team di sicurezza per identificare rapidamente le istanze WordPress che richiedono aggiornamenti urgenti.

Cosa Scansiona

Lo scanner identifica le installazioni WordPress individuando i file wp-includes/version.php nella directory target e in tutte le sottodirectory. Per ogni installazione trovata:

• Estrae il numero di versione di WordPress
• Verifica se la versione rientra in un intervallo vulnerabile noto
• Classifica il tipo e la gravità della vulnerabilità
• Genera sia l'output su console che, opzionalmente, report CSV

Versioni Vulnerabili

Lo strumento rileva tre livelli di gravità della vulnerabilità:

Full RCE (Esecuzione remota di codice non autenticata)

• WordPress 6.9.0 – 6.9.4: Contiene entrambe le CVE (SQL injection + confusione del percorso batch dell'API REST)
  • Correzione: Aggiorna alla 6.9.5 o successiva
  • Urgenza: 🔴 CRITICA – Applica la patch immediatamente
• WordPress 7.0.0 – 7.0.1: Contiene entrambe le CVE (SQL injection + confusione del percorso batch dell'API REST)
  • Correzione: Aggiorna alla 7.0.2 o successiva
  • Urgenza: 🔴 CRITICA – Applica la patch immediatamente

Solo SQL Injection

• WordPress 6.8.0 – 6.8.5: vulnerabilità di SQL injection (CVE-2026-60137) senza la confusione del percorso dell'API REST
  • Correzione: Aggiorna alla 6.8.6 o successiva
  • Urgenza: 🟡 ALTA – Applica la patch, ma priorità inferiore rispetto alle versioni RCE
  • Nota: Non sfruttabile attraverso la catena RCE completa non autenticata, ma rimane una vulnerabilità reale

Sicure

• Tutte le altre versioni sono considerate sicure e non risultano interessate

Configurazione

Prima di usare lo scanner, rendi eseguibile lo script:

chmod +x wp2shell-scanner.sh

Utilizzo

Scansione di Base

./wp2shell-scanner.sh /path/to/scan

Scansiona la directory specificata e tutte le sottodirectory alla ricerca di installazioni WordPress, mostrando i risultati nella console.

Genera Report CSV

./wp2shell-scanner.sh /path/to/scan --csv report.csv

Esegue la stessa scansione, ma salva anche i risultati in report.csv per ulteriori analisi o integrazione con altri strumenti.

Esempi Comuni

# Scan entire web root
./wp2shell-scanner.sh /var/www

# Scan with CSV export
./wp2shell-scanner.sh /home/users --csv wordpress-audit.csv

# Scan web server directory with sudo (if needed for permission)
sudo ./wp2shell-scanner.sh /home

Output

Output su Console

Lo strumento mostra i risultati con indicatori di stato colorati:

• [!] VULNERABLE - FULL RCE (Rosso): catena RCE completa rilevata – applica la patch immediatamente
• [!] VULNERABLE - SQLi only (Giallo): solo SQL injection – applica la patch al più presto
• [OK] (Verde): versione sicura
• [?] (Giallo): impossibile determinare la versione

Esempio:

Scanning for WordPress installs under: /var/www
----------------------------------------------------------------------
[!] VULNERABLE - FULL RCE /var/www/site1 -> WP 6.9.3 (patch to 6.9.5 or 7.0.2 immediately)
[!] VULNERABLE - SQLi only /var/www/site2 -> WP 6.8.4 (patch to 6.8.6; no full RCE chain on this branch)
[OK] /var/www/site3 -> WP 7.1.0
[?] /var/www/site4 -> could not determine version
----------------------------------------------------------------------
Scan complete.
Sites found:          4
  Vulnerable (RCE):   1
  Vulnerable (SQLi):  1
  Safe:               1
  Unknown:            1

Output CSV

Quando si usa --csv, viene creato un file con il seguente formato:

path,version,status
"/var/www/site1",6.9.3,VULNERABLE (RCE)
"/var/www/site2",6.8.4,VULNERABLE (SQLi)
"/var/www/site3",7.1.0,SAFE
"/var/www/site4",unknown,UNKNOWN

Questo formato è adatto per l'importazione in fogli di calcolo, dashboard di sicurezza o workflow di remediation automatizzati.