---

🇬🇧 Inglês

O que é o wp2shell?

O wp2shell é uma cadeia de execução remota de código (RCE) pré-autenticação no núcleo do WordPress, divulgada em 17 de julho de 2026. Uma única requisição HTTP anônima contra uma instalação padrão é suficiente para criar um administrador malicioso e executar código arbitrário no servidor.

A cadeia combina:

• CVE-2026-60137 — injeção de SQL no parâmetro author__not_in do WP_Query
• CVE-2026-63030 — confusão de rota no endpoint /wp-json/batch/v1 da API REST

Sites comprometidos exibem um administrador malicioso com prefixo de login wp2_ e e-mail @wp2shell.invalid.

Mais informações: https://wp2shell.com

---

Conteúdo do repositório

Arquivo	Finalidade
wp2shell-scan.sh	Scanner rápido de IoC em todo o servidor — saída colorida no terminal, pontuação de risco por site, relatório salvo automaticamente em /root/
wp2shell-report-per-user.sh	Scanner completo — relatórios por e-mail por usuário HestiaCP, diff de arquivos do núcleo, detecção de webshells por SHA256, avaliação por IA, pontuação de risco
known_shells.sha256	Base de dados de hashes de webshells conhecidos (SHA256) — baixada automaticamente em tempo de execução

---

O que o scanner verifica

Verificações de banco de dados / usuários

Verificação	Gravidade
Versão do WordPress vs. versões seguras	HIGH / OK
Contas com prefixo wp2_ ou e-mail @wp2shell.invalid	CRITICAL
Administradores criados após a divulgação (15/07/2026)	MEDIUM
Lacunas na sequência de IDs de usuário (vestígios de administrador malicioso removido)	MEDIUM
Linhas órfãs em wp_usermeta	MEDIUM
Linhas envenenadas em oembed_cache / customize_changeset	CRITICAL
Opções do WP adulteradas (upload_path, auto_prepend_file, siteurl)	CRITICAL / HIGH

Integridade dos arquivos do núcleo

Verificação	Gravidade
wp core verify-checksums vs. wp.org	HIGH
Diff diff -U5 linha por linha contra o núcleo limpo baixado	CRITICAL / HIGH / OK
Arquivos extras não presentes no núcleo limpo (conteúdo + metadados exibidos)	CRITICAL / HIGH

Análise de arquivos

Verificação	Gravidade
PHP em uploads/	CRITICAL
Extensões PHP extras (.php7 .phtml .phar .php5)	HIGH
Correspondência SHA256 com a base de dados de webshells conhecidos (WSO, FilesMan, b374k, p0wny…)	CRITICAL
PHP modificado após SINCE_DATE E com padrões suspeitos — com a linha correspondente exibida inline	CRITICAL / HIGH
PHP com padrões suspeitos, mas NÃO modificado recentemente	LOW
JS/HTML modificados após SINCE_DATE E com padrões de ofuscação	MEDIUM
URLs externas de C2/exfiltração (pastebin, ngrok, Discord webhooks, bit.ly…)	CRITICAL
Diretivas perigosas no .htaccess (AddType, auto_prepend_file, RewriteRule externa)	HIGH
.htaccess modificado após SINCE_DATE	MEDIUM
Imagens poliglotas com payload PHP (<?php em .jpg/.png…)	CRITICAL
Arquivos de backup/config expostos (wp-config.php.bak, *.sql…)	MEDIUM

Persistência

Verificação	Gravidade
Entradas de crontab de usuário com curl/wget/php/base64	HIGH
Arquivos de cron do sistema que referenciam o caminho do site	MEDIUM

Pontuação de risco

Cada site recebe uma pontuação de risco de 0 a 100 com a decomposição de cada achado que contribuiu:

  +------------------------------------------+
  |  RISK SCORE: 96/100  COMPROMISED         |
  +------------------------------------------+
  +40  wp2shell fingerprint account
  +30  PHP file(s) inside uploads/
  +20  Vulnerable WordPress version
  +6   Core checksum failure

Pontuação	Classificação
0–20	Probably Clean
21–40	Low Risk
41–60	Medium Risk
61–80	High Risk
81+	COMPROMISED

---

Requisitos

• Servidor Linux com HestiaCP
• bash 4.0+
• WP-CLI instalado globalmente como wp
• Acesso root
• sendmail (para relatórios por e-mail)
• python3 (para manipulação de JSON da avaliação por IA)
• curl, sha256sum, file, strings, unzip

Instalar o WP-CLI (se ausente)

curl -O https://raw.githubusercontent.com/wp-cli/builds/gh-pages/phar/wp-cli.phar
chmod +x wp-cli.phar && sudo mv wp-cli.phar /usr/local/bin/wp

---

Instalação e execução em uma única linha

Varredura IoC rápida

curl -fsSL https://raw.githubusercontent.com/BytesPulse-OE/wp2shell-Hestia-Scanner/main/wp2shell-scan.sh | sudo bash

Varredura completa com relatórios por e-mail por cliente

curl -fsSL https://raw.githubusercontent.com/BytesPulse-OE/wp2shell-Hestia-Scanner/main/wp2shell-report-per-user.sh \
  -o wp2shell-report-per-user.sh && sudo bash wp2shell-report-per-user.sh

Nota: O scanner completo faz perguntas interativas na inicialização (avaliação por IA, salvar relatório, limite de data). Baixar primeiro e depois executar garante que os prompts funcionem corretamente.

---

Uso

wp2shell-scan.sh — varredura rápida em todo o servidor

sudo bash wp2shell-scan.sh

Encontra todas as instalações do WordPress sob /home/*/web/*/public_html/, executa todas as verificações, imprime saída colorida no terminal e salva um relatório completo em /root/wp2shell-report-YYYYMMDD-HHMMSS.txt.

Na inicialização, pergunta por um limite de data personalizado opcional (padrão: 2026-07-15).

wp2shell-report-per-user.sh — varredura completa com relatórios por e-mail

sudo bash wp2shell-report-per-user.sh

Na inicialização, três perguntas:

[AI EVALUATION]   Use AI evaluation for ambiguous files? [y/N]
[SAVE REPORT]     Save a full report file for later review? [y/N]
[DATE THRESHOLD]  Use a different date? Leave blank to keep default [YYYY-MM-DD]:

Comece sempre com DRY_RUN=1 (o padrão) — os e-mails são pré-visualizados na tela, nada é enviado. Altere para DRY_RUN=0 somente depois de confirmar que a saída parece correta.

---

Configuração

wp2shell-scan.sh

Variável	Padrão	Descrição
WEB_ROOT	/home	Raiz web do HestiaCP
SINCE_DATE	2026-07-15	Limite de "modificado recentemente"
WP	wp	Caminho para o WP-CLI

wp2shell-report-per-user.sh

Variável	Padrão	Descrição
DRY_RUN	1	1 = apenas pré-visualização, 0 = enviar e-mails
SEND_ONLY_IF_ISSUES	0	1 = pular o e-mail se o site estiver limpo
SINCE_DATE	2026-07-15	Limite de "modificado recentemente"
MAIL_FROM	security@<hostname>	Remetente do envelope
CORE_CACHE	/root/wp2shell-cores	Diretório de cache do núcleo limpo
ANTHROPIC_API_KEY	(vazio)	Chave da API Claude para avaliação por IA

---

Avaliação por IA (opcional)