wp2shell_scanner

비침습적 탐지 스캐너 — 최신 WordPress 코어 취약점, wp2shell 사전 인증 RCE 체인을 포함합니다.

wp2shell_scanner.py는 WordPress 사이트의 코어 버전을 식별하고 공개적으로 알려진 REST API 표면을 읽은 후, 감지된 버전에 대해 각 추적된 코어 CVE를 독립적으로 분류합니다. 판정은 브랜치 인식 방식입니다. 예를 들어 6.8.x 사이트는 SQL 인젝션 CVE에 노출된 것으로 올바르게 보고되지만, 전체 RCE 체인에는 노출되지 않은 것으로 보고됩니다. 탐지만 수행합니다. 익스플로잇 페이로드는 절대 전송되지 않습니다. 단일 파일, 하나의 의존성(requests), CI 친화적인 종료 코드, 클라이언트에 바로 제공 가능한 HTML/JSON/이메일 보고서를 생성합니다.

⚠️ 승인된 용도로만 사용하세요. 귀하가 소유하거나 명시적으로 (서면으로) 테스트가 승인된 시스템만 스캔하세요. 스캐너는 블루 팀이 트래픽을 식별할 수 있도록 User-Agent를 식별 가능하게 설정하며, 숨기지 않습니다.

추적된 취약점 (WordPress 코어)

wp2shell RCE 체인 = CVE-2026-63030 + CVE-2026-60137 함께 → 기본 설치에서 사전 인증 원격 코드 실행. 스캐너는 두 CVE 모두 감지된 버전에 대해 취약하다고 분류될 때만 체인을 노출됨으로 보고합니다.

스캐너가 올바르게 처리하는 브랜치 미묘함:

• 6.8.x는 SQL 인젝션(CVE-2026-60137) 만 포함 — RCE 체인은 아님.
• 6.9 브랜치에서 CVE-2026-3906 (Notes)는 6.9.2에서 수정되었지만, wp2shell 체인은 6.9.5까지 닫히지 않습니다. 따라서 6.9.2/6.9.4는 Notes 버그에 대해 패치됨으로 읽히지만 RCE 체인에는 취약한 상태로 남아 있습니다. 스캐너는 해당 브랜치에서 6.9.5 이상만 권장하며, 절대 6.9.4를 권장하지 않습니다.

운영상 중요: wp2shell에 대한 기술적 분석과 작동하는 PoC가 이미 공개되었습니다. 버전 탐지는 이제 최소한의 조치입니다. 우선순위는 패치 적용입니다. 업데이트는 취약한 경로를 닫지만 패치 이전에 심어진 백도어는 제거하지 않습니다. 따라서 보고서에는 침해 평가 단계가 포함됩니다.

범위

이는 코어 버전 스캐너입니다. 플러그인 및 테마 CVE — WPScan/Patchstack 카탈로그의 대다수 — 는 실시간으로 선별된 피드와 플러그인별 버전 열거가 필요하므로 의도적으로 범위 외입니다. 해당 영역(최근 WordPress 코어 CVE) 내에서 정밀하고 브랜치별로 정확한 것을 목표로 하며, 상용 취약점 데이터베이스를 복제하지 않습니다.

스캐너가 하는 일

• 네 가지 공개 버전 벡터를 통한 수동적 WordPress 핑거프린팅:
  • 홈페이지의 <meta name="generator">
  • /readme.html
  • RSS/Atom 피드 <generator> 태그
  • /wp-links-opml.php (OPML)
• 벡터 간 교차 확인. 버전이 일치하지 않거나 사전 출시 빌드(베타/RC/알파)가 발견되면 판정은 UNKNOWN으로 강제 설정됩니다. 스캐너는 상충되는 증거로 인해 잘못된 Patched 판정을 내리지 않습니다.
• REST API 표면 발견 — /wp-json/을 읽어 WordPress가 REST 인덱스에 batch/v1 네임스페이스를 광고하는지 확인합니다. 이는 네임스페이스가 등록되었음을 확인하는 것이지, WAF를 통해 엔드포인트에 도달 가능한지 확인하는 것이 아닙니다. 배치 요청이나 페이로드는 전송되지 않습니다.
• CVE별 판정 — 감지된 버전은 각 추적된 CVE에 대해 독립적으로 (브랜치 인식) 분류되며, 다음을 출력합니다:
  • 클라이언트에 바로 제공 가능한 HTML 보고서 (인쇄 → PDF),
  • JSON 레코드 (파이프라인/EAV 친화적),
  • 초안 알림 이메일.

명시적으로 하지 않는 일

어떤 것도 익스플로잇하지 않습니다. SQL 인젝션 페이로드, 배치 라우트 혼동 요청, 코드 실행 또는 데이터 읽기 시도가 없습니다. 탐지는 버전 기반이며 공개적으로 광고된 API 표면의 수동적 읽기입니다.

설치

pip install requests

사용법

# 단일 대상
python3 wp2shell_scanner.py -t https://site.example --authorized

# 대상 목록 (한 줄에 하나, # 주석 허용)
python3 wp2shell_scanner.py -T scope.txt --authorized -o ./reports

# 합성 데이터로 출력 형식 미리보기 — 네트워크 불필요, 인증 불필요
python3 wp2shell_scanner.py --demo -o ./reports

플래그

--authorized 플래그는 명시적 인증 게이트입니다. 실제 스캔은 이 플래그 없이는 실행되지 않습니다.

종료 코드 (CI 친화적)

구성

알림 이메일 수신자는 스크립트 상단 근처에 있는 CSSLTD_CONTACT 상수입니다 (기본값 [email protected]). 자체 수신 주소로 편집하세요.

판정

예시 출력

examples/ 디렉터리에는 가상의 취약한 호스트(example.com, WordPress 6.9.1 — 세 추적 CVE 모두에 노출)에 대한 합성 (--demo) 출력이 포함되어 있습니다:

• wp2shell_report_example.com.html — 클라이언트에 바로 제공 가능한 HTML 보고서
• wp2shell_example.com.json — JSON 레코드
• wp2shell_email_example.com.txt — 초안 알림 이메일

이는 보고서 형식을 설명하기 위해 조작된 데이터로 생성된 것입니다. 실제 사이트를 스캔한 결과가 아닙니다.

해결 방법 (보고서에 포함됨)

1. 먼저 확인된 백업(DB + 전체 파일 트리)을 생성하세요.
2. 모든 추적된 CVE를 해결하는 릴리스로 WordPress 코어 업데이트 — 6.8.6 / 6.9.5 / 7.0.2 또는 이후의 해당 브랜치 릴리스로. (6.9에서 6.9.5+만 완전히 해결됨 — 6.9.4에는 여전히 wp2shell 체인이 있습니다.)
3. 사이트와 관리자가 여전히 작동하는지 확인하세요.
4. 호스트가 취약한 상태로 노출되었다면 침해를 가정하세요 — 테마, 플러그인, uploads/, wp-config.php, wp-cron, 관리자 계정에 대해 침해 평가를 수행하고, 알려진 정상 코어와 파일 무결성 검사를 실행하세요.
5. 경계에서 심층 방어를 추가하세요 (WAF 규칙, /wp-json/batch/v1 제한).
6. 침해가 의심되면 비밀 키(인증 솔트, 관리자/DB 비밀번호, API 키)를 교체하세요.
7. 다시 스캔하여 판정이 이제 Patched로 표시되는지 확인하세요.

참고 자료

• WordPress GitHub Security Advisory — wp2shell RCE chain (GHSA-ff9f-jf42-662q)
• WordPress GitHub Security Advisory — author__not_in SQLi (GHSA-fpp7-x2x2-2mjf)
• WordPress GitHub Security Advisory — Notes REST API (GHSA-6x83-fcf5-r65g)
• NVD — CVE-2026-63030 · NVD — CVE-2026-3906
• Rapid7 — ETR: CVE-2026-63030 wp2shell
• VulnCheck — WP2Shell (CVE-2026-63030 & CVE-2026-60137)
• WordPress releases (safe targets: 6.8.6 / 6.9.5 / 7.0.2)

면책 조항

이 도구는 승인된 보안 테스트 용도로만 사용됩니다. 대상 스캔 권한이 있는지 확인하는 것은 귀하의 책임입니다. 무단 스캔은 불법일 수 있습니다. 저자는 오용에 대한 책임을 지지 않습니다.