wp2shell-detect

블랙박스형, 비간섭(non-intrusive) 탐지기 — WordPress 코어에서 2026-07-17에 공개된 사전 인증 RCE 체인인 wp2shell:

• CVE-2026-63030 — REST 배치 엔드포인트(/wp-json/batch/v1)의 라우트 혼동(route confusion): 경로가 wp_parse_url()에 실패하는 하위 요청이 검증 배열에는 포함되지만 핸들러 배열에는 포함되지 않아 두 배열이 동기화되지 않습니다.
• CVE-2026-60137 — WP_Query의 author__not_in 처리에서의 SQL 삽입. 해당 라우트 혼동을 통해 사전 인증 상태로 도달 가능합니다.

이들을 연쇄적으로 사용하면 익명 공격자가 기본 설치(default install) 환경에서 관리자 계정을 위조하고 플러그인 웹셸을 배포할 수 있습니다 — 플러그인이나 테마가 필요하지 않습니다.

전체 기술 문서: https://own2pwn.fr/articles/appsec/wp2shell-wordpress-rce

이 도구가 하는 일(그리고 하지 않는 일)

노출 여부를 탐지합니다. 어떤 것도 악용하지 않습니다. 이 도구가 보내는 모든 요청은 크롤러가 보낼 수 있는 일반적인 읽기 전용 요청입니다:

1. 여러 공개 소스에서 WordPress 코어 버전을 **지문 수집(fingerprints)**하므로 generator 태그를 제거한 강화된 설치도 식별할 수 있습니다: generator 메타 태그, 코어 에셋의 ?ver=(코어를 추적하는 /wp-includes/ 및 /wp-admin/ 에셋), RSS 피드 생성기(?v=), /wp-links-opml.php, 로그인 페이지 에셋, /wp-includes/version.php, readme.html, /wp-json/ 인덱스. 소스를 교차 확인하고 신뢰도(≥2개가 일치하면 high)를 보고합니다.
2. 버전을 알려진 취약 범위와 비교합니다.
3. 무해한 OPTIONS 요청(및 REST 인덱스)으로 REST 배치 라우트를 확인합니다 — 이 요청은 핸들러를 전혀 호출하지 않고 라우트 스키마를 반환하므로 엣지 완화 조치가 적용되었는지 알 수 있습니다.
4. 헤드리스 WordPress 백엔드를 발견합니다. 대상 프론트가 WP가 아니지만 동일 도메인의 WordPress 호스트를 참조하는 경우(CSP, Link 헤더 또는 에셋 URL을 통해 — 헤드리스/Next.js 프론트에서 흔함), 도구가 이를 보고하며 --discover로도 스캔합니다.

어떤 요청도 취약점을 트리거하지 않습니다. POST /wp-json/batch/v1도, author_exclude도, SQL도 없습니다. 코어 버전이 숨겨져 있으면 추측하는 대신 숨겨져 있다고 알려줍니다(wp2shell을 맹목적으로 확인하려면 실제로 악용해야 하기 때문입니다).

복원력(Resilience): 백오프 재시도, gzip/deflate 디코딩, https→http 폴백, 교차 호스트 리다이렉트 추적, 브라우저형 User-Agent(재정의 가능), 병렬 다중 대상 스캔을 지원합니다.

취약 범위

설치

pip install wp2shell-detect

또는 소스에서 바로 실행할 수 있습니다(단일 파일, 의존성 없음, Python 3.8+):

git clone https://github.com/own2pwn-fr/wp2shell-detect
./wp2shell-detect/wp2shell_detect.py https://example.com

사용법

의존성 없음. Python 3.8+.

wp2shell-detect https://example.com
wp2shell-detect --json https://a.example https://b.example
wp2shell-detect --targets hosts.txt --workers 16   # parallel sweep
wp2shell-detect --discover https://front.example   # follow headless WP

(PyPI에서 설치하면 명령어는 wp2shell-detect입니다. 클론에서는 동일한 인자로 ./wp2shell_detect.py를 호출하세요.)

옵션: --json, --discover, --workers N, --timeout S, --user-agent UA, --insecure, --targets FILE. 취약한 대상이 하나라도 발견되면 종료 코드 2를 반환합니다(CI/cron 스캔에서 유용).

헤드리스 WordPress

현대 사이트는 흔히 www.에 JS/Next.js 프론트를 두고 WordPress는 형제 호스트(wordpress., wp., cms.)에 유지합니다. 이 경우 www.를 스캔하면 not WordPress가 반환됩니다 — 해당 호스트가 WordPress가 아니므로 정확합니다. 스캔 대상으로 WordPress 호스트를 지정하거나, --discover를 전달하면 프론트의 CSP / Link 헤더 / 에셋 URL에서 WordPress 호스트를 자동으로 찾아 스캔합니다.

예시:

[!!] https://blog.example.com  ->  VULNERABLE (pre-auth RCE)
      version : 6.9.3  (generator meta tag=6.9.3, RSS feed generator=6.9.3)
      batch   : reachable  (/wp-json/batch/v1)
      cves    : CVE-2026-63030, CVE-2026-60137
      note    : WordPress 6.9.3 is in the wp2shell pre-auth RCE range. REST batch endpoint reachable — no edge mitigation.

완화 방법

WordPress 코어를 6.8.6 / 6.9.5 / 7.0.2 이상으로 패치하세요. 패치를 기다려야 한다면 엣지에서 배치 라우트(/wp-json/batch/v1 및 ?rest_route=/batch/v1)를 차단하거나 rest_pre_dispatch에 후킹하는 must-use 플러그인을 통해 차단한 다음, 불법 관리자 계정과 알 수 없는 플러그인이 없는지 감사하세요.

법적 고지

승인된 평가에만 사용하세요. 소유하지 않았거나 테스트를 위임받지 않은 시스템에 이 도구를 실행하는 것은 해당 관할권에서 불법일 수 있습니다. 사용 방법에 대한 책임은 사용자에게 있습니다.

라이선스

MIT. LICENSE 참조. own2pwn 제공.