wp2shell-check

Verificatore di esposizione non intrusivo per la catena RCE pre-autenticazione "wp2shell" di WordPress (CVE-2026-63030 + CVE-2026-60137).

⚠️ Solo uso autorizzato. Esegui questo strumento solo su istanze WordPress di tua proprietà o per le quali hai esplicita autorizzazione al test. È un ausilio di triage, non un exploit. Scansionare sistemi senza permesso può essere illegale.

Cosa fa

Dato un URL, wp2shell-check:

1. Legge la versione di WordPress dal meta tag generator nella home page (passivo).
2. La confronta con le versioni interessate dalla catena wp2shell.
3. Invia una singola sonda benigna all'endpoint REST batch (?rest_route=/batch/v1) per verificare se la route REST batch è raggiungibile.
4. Stampa un verdetto su una sola riga.

È progettato per un triage rapido su flotte di siti: quali dei miei siti sono su una versione interessata con REST raggiungibile?

Cosa non fa

• Non invia payload di SQL injection né attiva il bug di route confusion.
• Non conferma l'effettiva sfruttabilità. La sonda sulla route indica solo che la route batch è registrata e convalida l'input, il che è vero per praticamente qualsiasi installazione predefinita con la REST API abilitata (l'endpoint batch è nel core dal WordPress 5.6). Il controllo della versione è il segnale determinante.
• È un'euristica di raggiungibilità + versione, non una proof-of-concept.

La vulnerabilità (wp2shell)

Due difetti concatenati del core di WordPress, divulgati con un rilascio d'emergenza il 2026-07-17:

Concatenati, consentono a un attaccante non autenticato di raggiungere l'SQL injection ed escalare a remote code execution su un'installazione predefinita — niente plugin, niente login. La parte RCE si applica solo quando non è in uso una cache di oggetti persistente.

Corretto in: 6.8.6 (solo SQLi), 6.9.5, 7.0.2 (e 7.1 Beta 2+). WordPress ha abilitato aggiornamenti automatici forzati per i siti interessati: verifica che l'aggiornamento sia realmente arrivato.

Segnalata da Adam Kues (Assetnote / Searchlight Cyber) tramite il programma HackerOne di WordPress.

Installazione

Richiede Python 3.9+ e requests.

# with uv
uv pip install requests

# or plain pip
pip install requests

Utilizzo

python wp2shell.py https://target.example

Esempio di output:

https://target.example: VULNERABLE (RCE) [6.9.3]

Interpretazione dell'output

Limitazioni

• "VULNERABLE" è un segnale di esposizione, non una conferma. Significa versione interessata + REST raggiungibile. Non dimostra che la route confusion / l'iniezione sia sfruttabile su quello specifico host.
• Cache di oggetti persistente. L'RCE richiede che non sia in uso una cache di oggetti persistente. Un sito può rientrare nella fascia interessata ma non essere sfruttabile per RCE, e questo strumento non può rilevarlo da remoto.
• Il rilevamento della versione è best-effort. Il tag generator è spesso rimosso o falsificato; una versione mancante produce wordpress not detected, non una garanzia che il sito sia sicuro o non WordPress.
• Un singolo URL per esecuzione. Nessun input batch, rate limiting o formati di output oltre alla riga di console.

Rimedio

1. Aggiorna a 6.8.6, 6.9.5 o 7.0.2 (o versioni successive) per il tuo ramo e conferma che l'aggiornamento sia stato applicato.
2. Se non puoi applicare la patch immediatamente, blocca /wp-json/batch/v1 e ?rest_route=/batch/v1 sul tuo WAF, oppure limita l'accesso anonimo alla REST API.

Disclaimer

Fornito così com'è, solo per test di sicurezza autorizzati e scopi educativi. Sei l'unico responsabile dell'uso che ne fai.

Riferimenti

• Rilascio di sicurezza WordPress, 6.9.5 / 7.0.2 (2026-07-17)
• Cloudflare — protezioni WAF per le vulnerabilità WordPress
• The Hacker News — copertura su wp2shell
• ZeroSec (zsec.uk) — analisi approfondita del codice di wp2shell