kaleth4/cve-2026-64638Технический анализ и защитные меры для цепочки XSS-to-RCE до аутентификации в ядре WordPress, включая обход санитайзера, DOM clobbering, злоупотребление JSONP, сигнатуры обнаружения и установку исправлений.
Технический анализ и матрица защитных мер для вектора CVE-2026-64638 (XSS2Shell), критическая несогласованность в парсинге экрана аутентификации WordPress Core, которая позволяет связать отражённый Cross-Site Scripting (XSS) до аутентификации с примитивами браузера и достичь удалённого выполнения кода (RCE).
Реальный риск этого вектора заключается в комбинации множества легитимных гаджетов, встроенных в ядро приложения. То, что изначально классифицируется как находка средней степени воздействия (отражённый XSS), перерастает в полную компрометацию сервера, следуя этим техническим звеньям:
[ Запрос до аутентификации ] ➔ [ Несогласованность фильтров ] ➔ [ DOM Clobbering ] ➔ [ Callback JSONP REST API ] ➔ [ Взаимодействие администратора ] ➔ [ Генерация пароля приложения ] ➔ [ RCE через загрузку плагина ]
Точка входа использует логическое расхождение между двумя внутренними функциями очистки входных данных на экране входа (wp-login.php). Пока одна игнорирует определённые HTML-теги area, другая их восстанавливает, что позволяет вредоносной полезной нагрузке в параметре имени пользователя отражаться напрямую в DOM ответа об ошибке входа.
WordPress по умолчанию загружает скрипты пользовательского профиля в интерфейсе входа (необходимые для процедур сброса пароля). HTML-инъекция изменяет глобальное пространство имён (window.ajaxurl), перенаправляя легитимные вызовы на конечную точку, контролируемую атакующим.
Используя определённые параметры внутренней REST API (_jsonp, _method=GET, _envelope=1), браузер интерпретирует ответы как содержимое application/javascript, что позволяет принудительно вызывать произвольные функции в обход строгих директив Content Security Policy (CSP), основанных на nonce.
Если администратор с открытой сессией взаимодействует с затронутым источником, вредоносная нагрузка использует его привилегии для автоматического выпуска фонового пароля приложения. С этими вторичными учётными данными API выполняется загрузка вредоносного плагина, предоставляющего интерактивную оболочку в среде выполнения PHP.
Патч безопасности был развёрнут ретроактивно во всех активных ветках ядра WordPress. Проверьте точную минорную версию, установленную на ваших серверах.
| Ветка | Последняя уязвимая версия | Исправленная версия (Patch) | Статус поддержки |
|---|---|---|---|
| 7.0 | 7.0.2 | 7.0.3 | Основная еженедельная ветка |
| 6.9 | 6.9.5 | 6.9.6 | Бэкпорт безопасности |
| 6.8 | 6.8.6 | 6.8.7 | Бэкпорт безопасности |
| 6.7 | 6.7.5 | 6.7.6 | Бэкпорт безопасности |
| < 4.7 | Все | Не поддерживается | 🚨 Критический риск / End of Life |
Немедленно обновите ядро WordPress до версии, соответствующей вашей ветке. В корпоративных средах не полагайтесь исключительно на систему автоматических обновлений.
# Forzar actualización de Core vía WP-CLI
wp core update --version=7.0.3 --force
Если невозможно обновить среду немедленно, примените меры защиты в глубину, чтобы разорвать верхние звенья цепочки эксплуатации:
define('DISALLOW_FILE_MODS', true); в ваш файл wp-config.php, чтобы ограничить установку или изменение кода через веб-интерфейс.wp-login.php исключительно корпоративными IP-диапазонами или доверенными VPN.Чтобы выяснить, была ли инфраструктура скомпрометирована или атакована до применения патча, проверьте файлы журналов доступа (Access Logs) и файловую систему на следующие паттерны:
# Buscar intentos de inyección de caracteres HTML o payloads en el login
grep -E "wp-login\.php.*user_login=.*[<>]" /var/log/nginx/access.log
# Buscar llamadas a la REST API que fuercen parámetros de callbacks JSONP
grep -E "wp-json.*_jsonp=" /var/log/nginx/access.log
# Auditar llamadas inusuales de subida de complementos por parte de IPs desconocidas
grep "POST /wp-admin/update.php?action=upload-plugin" /var/log/nginx/access.log
.php в пути /wp-content/plugins/, принадлежащих нераспознанным или неактивным плагинам.