wp2shell_scanner

Scanner di rilevamento non intrusivo per le recenti vulnerabilità del core di WordPress — inclusa la catena RCE pre-autenticazione wp2shell.

wp2shell_scanner.py identifica la versione del core di un sito WordPress e legge la sua superficie dell'API REST pubblicamente esposta, quindi classifica ogni CVE del core tracciata singolarmente rispetto alla versione rilevata. I verdetti sono consapevoli del ramo (branch-aware) — ad esempio un sito 6.8.x viene correttamente segnalato come esposto alla CVE di SQL injection ma non all'intera catena RCE. Effettua solo rilevamento: nessun payload di exploit viene mai inviato. Un singolo file, una dipendenza (requests), codici di uscita compatibili con le CI e report HTML / JSON / e-mail pronti per il cliente.

⚠️ Solo uso autorizzato. Scansiona sistemi di tua proprietà o per i quali hai ricevuto esplicita autorizzazione (per iscritto) al test. Lo scanner invia uno User-Agent identificativo così i blue team possono attribuire il traffico — non si nasconde.

Vulnerabilità tracciate (core di WordPress)

La catena RCE wp2shell = CVE-2026-63030 + CVE-2026-60137 insieme → esecuzione di codice remoto pre-autenticazione su un'installazione predefinita. Lo scanner segnala la catena come esposta solo quando entrambe le CVE risultano vulnerabili per la versione rilevata.

Sfumature di ramo che lo scanner gestisce correttamente:

• 6.8.x contiene solo la SQL injection (CVE-2026-60137) — non la catena RCE.

• Sul ramo 6.9, CVE-2026-3906 (Notes) è corretta in 6.9.2, ma la catena wp2shell non è chiusa fino alla 6.9.5. Quindi 6.9.2/6.9.4 risultano corrette per il bug di Notes ma restano vulnerabili alla catena RCE — lo scanner quindi raccomanda solo 6.9.5 o successiva su quel ramo, mai 6.9.4.

Importante dal punto di vista operativo: analisi tecniche e una PoC funzionante per wp2shell sono già pubbliche. Il rilevamento della versione è ora il minimo assoluto — la priorità è il patching. L'aggiornamento chiude il percorso vulnerabile ma non rimuove una backdoor piazzata prima della patch — da qui il passaggio di valutazione della compromissione nel report.

Ambito

Questo è uno scanner della versione del core. Le CVE di plugin e temi — la grande maggioranza del catalogo WPScan / Patchstack — richiedono un feed vivo e curato e l'enumerazione della versione per singolo plugin, e sono intenzionalmente fuori ambito qui. Nel suo campo (recenti CVE del core di WordPress), mira a essere preciso e accurato per ramo piuttosto che a duplicare un database commerciale di vulnerabilità.

Cosa fa lo scanner

• Fingerprinting passivo di WordPress su quattro vettori di versione pubblici:
  • <meta name="generator"> nella home page
  • /readme.html
  • tag <generator> del feed RSS / Atom
  • /wp-links-opml.php (OPML)
• Incrocia i vettori. Se non concordano sulla versione, o viene vista una build pre-release (beta/RC/alpha), il verdetto viene forzato a UNKNOWN — lo scanner non riporta mai un Patched potenzialmente falso da prove contrastanti.
• Scoperta della superficie dell'API REST — legge /wp-json/ per vedere se WordPress pubblicizza il namespace batch/v1 nel suo indice REST. Questo conferma che il namespace è registrato, non che l'endpoint sia raggiungibile attraverso un WAF. Nessuna richiesta batch e nessun payload vengono inviati.
• Verdetto per singola CVE — la versione rilevata viene classificata indipendentemente rispetto a ogni CVE tracciata (consapevole del ramo), e genera:
  • un report HTML pronto per il cliente (stampa → PDF),
  • un record JSON (adatto a pipeline/EAV),
  • una bozza di e-mail di notifica.

Cosa esplicitamente non fa

Non sfrutta nulla. Nessun payload di SQL injection, nessuna richiesta di confusione di route batch, nessun tentativo di eseguire codice o leggere dati. Il rilevamento si basa sulla versione più una lettura passiva della superficie API pubblicamente pubblicizzata.

Installazione

pip install requests

Utilizzo

# single target
python3 wp2shell_scanner.py -t https://site.example --authorized

# list of targets (one per line, # comments allowed)
python3 wp2shell_scanner.py -T scope.txt --authorized -o ./reports

# preview the output formats with synthetic data — no network, no auth needed
python3 wp2shell_scanner.py --demo -o ./reports

Flag

Il flag --authorized è un esplicito gate di autorizzazione — le scansioni live rifiutano di essere eseguite senza di esso.

Codici di uscita (compatibili con CI)

Configurazione

Il destinatario dell'e-mail di notifica è la costante CSSLTD_CONTACT vicino all'inizio dello script (predefinito [email protected]). Modificala con il tuo indirizzo di ricezione.

Verdetti

Esempio di output

La directory examples/ contiene output sintetici (--demo) per un host vulnerabile fittizio (example.com, WordPress 6.9.1 — esposto a tutte e tre le CVE tracciate):

• wp2shell_report_example.com.html — il report HTML pronto per il cliente
• wp2shell_example.com.json — il record JSON
• wp2shell_email_example.com.txt — la bozza dell'e-mail di notifica

Questi sono generati da dati di fantasia per illustrare il formato del report. Non sono il risultato della scansione di alcun sito reale.

Rimedio (come riportato nel report)

1. Fai prima un backup verificato (DB + intero albero dei file).
2. Aggiorna il core di WordPress a una release che risolva ogni CVE tracciata — 6.8.6 / 6.9.5 / 7.0.2 — o successiva sul ramo corrispondente. (Sulla 6.9, solo 6.9.5+ è pulita — 6.9.4 ha ancora la catena wp2shell.)
3. Verifica che il sito e l'admin funzionino ancora.
4. Presumi la compromissione se l'host è stato esposto mentre era vulnerabile — esegui una valutazione della compromissione su temi, plugin, uploads/, wp-config.php, wp-cron e account admin; esegui controlli di integrità dei file rispetto al core noto integro.
5. Aggiungi difesa in profondità al perimetro (regole WAF, limita /wp-json/batch/v1).
6. Ruota i segreti (salt di autenticazione, password admin/DB, chiavi API) se sospetti una compromissione.
7. Riesegui la scansione per confermare che il verdetto ora rechi Patched.

Riferimenti

• WordPress GitHub Security Advisory — catena RCE wp2shell (GHSA-ff9f-jf42-662q)
• WordPress GitHub Security Advisory — SQLi author__not_in (GHSA-fpp7-x2x2-2mjf)
• WordPress GitHub Security Advisory — API REST Notes (GHSA-6x83-fcf5-r65g)
• NVD — CVE-2026-63030 · NVD — CVE-2026-3906
• Rapid7 — ETR: CVE-2026-63030 wp2shell
• VulnCheck — WP2Shell (CVE-2026-63030 & CVE-2026-60137)
• Release di WordPress (target sicuri: 6.8.6 / 6.9.5 / 7.0.2)

Disclaimer

Questo strumento è solo per test di sicurezza autorizzati. Sei responsabile di garantire di avere il permesso di scansionare qualsiasi target. La scansione non autorizzata potrebbe essere illegale. Gli autori non accettano alcuna responsabilità per un uso improprio.