wp2shell-check

WordPress "wp2shell" 사전 인증 RCE 체인(CVE-2026-63030 + CVE-2026-60137)에 대한 비침습적 노출 확인 도구입니다.

⚠️ 권한이 있는 사용만 허용됩니다. 직접 소유하거나 명시적 테스트 권한이 있는 WordPress 인스턴스에서만 실행하세요. 이는 트라이지 도구이지 익스플로잇이 아닙니다. 허가 없이 시스템을 스캔하는 것은 불법일 수 있습니다.

기능 설명

wp2shell-check는 URL을 입력받아:

1. 홈페이지의 generator 메타 태그에서 WordPress 버전을 읽습니다 (수동적).
2. wp2shell 체인의 영향을 받는 버전과 비교합니다.
3. REST 배치 엔드포인트(?rest_route=/batch/v1)에 단일 무해 프로브를 전송하여 REST 배치 경로에 접근 가능한지 확인합니다.
4. 한 줄로 된 판정을 출력합니다.

빠른 플릿 트라이지를 위해 설계되었습니다: REST에 접근 가능한 영향을 받는 버전에 있는 사이트는?

하지 않는 기능

• SQL 인젝션 페이로드를 전송하거나 경로 혼동 버그를 트리거하지 않습니다.
• 익스플로잇 가능성을 확인하지 않습니다. 경로 프로브는 배치 경로가 등록되고 입력을 검증하고 있음을 알려줄 뿐입니다. 이는 REST API가 활성화된 거의 모든 기본 설치에서 해당됩니다 (배치 엔드포인트는 WordPress 5.6부터 코어에 포함되어 있습니다). 버전 확인이 핵심 신호입니다.
• 이는 증명 개념이 아니라 도달 가능성 + 버전 휴리스틱입니다.

취약점 (wp2shell)

2026년 7월 17일 긴급 릴리스로 공개된 두 가지 연쇄 WordPress 코어 결함:

연쇄적으로 사용하면 인증되지 않은 공격자가 SQL 인젝션에 도달하고 기본 설치에서 원격 코드 실행으로 확대할 수 있습니다 — 플러그인, 로그인 불필요. RCE 부분은 영구 객체 캐시가 사용 중이 아닌 경우에만 적용됩니다.

수정 버전: 6.8.6 (SQLi 전용), 6.9.5, 7.0.2 (및 7.1 Beta 2+). WordPress는 영향을 받는 사이트에 대해 강제 자동 업데이트를 활성화했습니다 — 업데이트가 실제로 적용되었는지 확인하세요.

Adam Kues (Assetnote / Searchlight Cyber)가 WordPress의 HackerOne 프로그램을 통해 보고했습니다.

설치

Python 3.9+ 및 requests 필요.

# uv 사용
uv pip install requests

# 또는 일반 pip
pip install requests

사용법

python wp2shell.py https://target.example

출력 예시:

https://target.example: VULNERABLE (RCE) [6.9.3]

출력 해석

제한 사항

• "취약(VULNERABLE)"은 노출 신호이지 확인이 아닙니다. 이는 _영향을 받는 버전 + REST 접근 가능_을 의미합니다. 특정 호스트에서 경로 혼동/인젝션이 실제로 익스플로잇 가능하다는 것을 증명하지 않습니다.
• 영구 객체 캐시. RCE를 위해서는 영구 객체 캐시가 사용 중이지 않아야 합니다. 영향을 받는 구간에 있더라도 RCE가 불가능한 사이트가 있을 수 있으며, 이 도구는 원격으로 이를 감지할 수 없습니다.
• 버전 감지는 최선 방식입니다. generator 태그는 종종 제거되거나 위조됩니다. 버전이 없으면 wordpress not detected가 출력되며, 사이트가 안전하거나 WordPress가 아니라는 보장은 없습니다.
• 실행당 단일 URL. 배치 입력, 속도 제한, 또는 콘솔 라인 외의 출력 형식이 없습니다.

해결 방법

1. 해당 브랜치의 6.8.6, 6.9.5, 또는 7.0.2 (또는 최신)로 업데이트하고 업데이트가 적용되었는지 확인합니다.
2. 즉시 패치할 수 없는 경우 WAF에서 /wp-json/batch/v1 및 ?rest_route=/batch/v1을 차단하거나 REST API에 대한 익명 접근을 제한합니다.

면책 조항

있는 그대로 제공되며, 공인된 보안 테스트 및 교육 목적으로만 사용됩니다. 사용 방법에 대한 책임은 전적으로 사용자에게 있습니다.

참고 자료

• WordPress 보안 릴리스, 6.9.5 / 7.0.2 (2026-07-17)
• Cloudflare — WordPress 취약점에 대한 WAF 보호
• The Hacker News — wp2shell 보도
• ZeroSec (zsec.uk) — wp2shell 코드 추적 심층 분석