wp2shell — WordPress 核心中的预认证 RCE

串联 CVE-2026-63030 + CVE-2026-60137 的未认证 WordPress 核心 RCE PoC。仅限授权测试。

wp2shell.py 是一个单文件、仅依赖标准库的概念验证（PoC），将 两个 WordPress 核心漏洞串联为未认证的远程代码执行：

单独来看，两者都不是 RCE。失步是 投递手段（它将攻击者可控的字符串偷偷送入其本不该到达的查询）；注入是 原语。二者结合，使预认证攻击者获得完整的 SQL 读/写 oracle，并由此获得可用的 shell。

⚠️ 仅限授权测试。 本工具针对运行中的 WordPress 站点进行利用。只能对您拥有或已获明确书面测试许可的系统使用。

受影响版本

受影响：6.8.0–6.8.5、6.9.0–6.9.4、7.0.0–7.0.1 已修复：6.8.6、6.9.5、7.0.2（及更高版本） 由 Adam Kues（Assetnote / Searchlight Cyber）报告；SQLi 同时致谢 TF1T、dtro、haongo。

只有 6.9.0–7.0.1 具备 RCE 能力。 在 6.8.x 系列上，失步仍会触发，但本应使 handler 错位的分支会命中 WP_Error::get_method() 致命错误——因此 6.8.x 是 拒绝服务 / 崩溃，而非 shell。该工具会检测这一点，并告知您当前可用的原语。

攻击链工作原理

该利用按层次构建；每一层都是通往下一层的桥梁。

1. 失步（CVE-2026-63030）。 一个批量请求中嵌套了第二个批量。其中一个子请求携带刻意构造的畸形路径（http://:，wp_parse_url() 会拒绝它）。在 6.9.0+ 上，解析失败会使 handler 表与 validation 表错位一项，因此 下一个 子请求会在一个它从未被验证过的处理器下运行——即公开文章集合。

2. 注入（CVE-2026-60137）。 该错误分发的调用携带攻击者可控的 author__not_in 到达 WP_Query。这里的 UNION ALL SELECT 并不会 读取 行——而是 伪造 它们，让我们能在查询结果中伪造任意文章。

3. SQL → 写入桥梁。 伪造的文章携带 [embed] 标记。WordPress 会忠实地解析它们，并将其 缓存 为真实的 oembed_cache 文章元数据行——从而将只读注入转变为任意 写入 原语。

4. 提权枢轴。 借助该写入桥梁，我们伪造 (a) 一个以真实管理员身份撰写的定制器 变更集（changeset） 与 (b) 一个自引用的 request 文章。二者共同迫使 WordPress 以该管理员的身份重新运行其自身的请求管线——这个时间窗口刚好足够一个排队的 POST /wp/v2/users 调用创建新的管理员。

5. Shell。 以新管理员身份登录，上传插件，执行命令。之后该账号、其元数据、oembed 行以及 webshell 都会被 清理——不会留下任何持久痕迹。

提取 oracle

对于读取侧（--dump、前缀解析、缓存的 ID），工具会自动选择可用的最快 oracle，并在 首次命中时停止：

1. union — 带内 UNION：伪造行的 post_title 携带 |||HEX(value)|||，它会原样回显在 /wp/v2/posts 响应体中。仅需 一个请求 即可读取完整值（任意长度）。若 UNION 可回显，则永远不会探测布尔 oracle。
2. bool — 布尔 X-WP-Total oracle：被混淆的子响应的 X-WP-Total 头在条件为真时为 count>0，为假时为 0。每个请求提取一位（二分法）。
3. time — 基于时间的 SLEEP()：当响应体被剥离 且 响应为 500（例如缓存型 mu-plugin 导致分发后致命错误）时的回退方案。即使目标每次 REST 调用都会崩溃，也能正常工作。

当 UNION 可用时，--dump 使用 GROUP_CONCAT 一次性拉取整套凭据。

安装

无需安装。仅依赖 Python 3.7+ 标准库——无需 pip install。

chmod +x wp2shell.py

用法

# 1. Is it vulnerable? (no injection, no writes, no account created)
./wp2shell.py http://target --check

# 2. Read-only credential dump — FIRST administrator + option secrets
./wp2shell.py http://target --dump

#    …every administrator
./wp2shell.py http://target --dump all

# 3. Full RCE — create a temp admin, run a command, clean up
./wp2shell.py http://target --exec "id; uname -a"

只读侦察（不创建管理员，可绕过 2FA）

./wp2shell.py http://target --user-list          # full user table (logins/emails/roles)
./wp2shell.py http://target --content            # every post type at status=any (private/draft)
./wp2shell.py http://target --content full        #   …including each item's raw body

扫描多台主机

./wp2shell.py -f targets.txt --check --target-threads 8

选项

WAF / 加固规避

输出说明

• 密码哈希（$wp$2y$… / $P$… / $2y$…）可直接用于 hashcat（phpass 使用 -m 3200，或使用 WP bcrypt 模式）。WordPress 6.8+ 使用 $wp$… bcrypt。
• --dump 默认只导出第一个管理员。如需完整管理员列表，请使用 --dump all。
• 500 错误 / 崩溃目标： 如果分发后的致命错误（例如 Pantheon 风格的缓存 mu-plugin）使每个 REST 响应都变成 500，则管理员创建将无法工作，但读取仍然可行——改用 --oracle time --dump 来恢复哈希。

为什么清理很重要

--exec 路径的设计目标是 不留任何痕迹：临时管理员、其用户元数据、伪造的 oembed_cache 行以及上传的 webshell 都会在工具退出前被全部移除。没有 --keep 标志——操作者绝不应在客户系统上留下一个存活且由攻击者创建的管理员账号。

文件

• wp2shell.py — 利用程序（单文件，仅标准库）。

致谢

漏洞发现、披露以及最初的 "wp2shell" 分析文章均归功于 Searchlight Cyber / Assetnote 研究团队：

• CVE-2026-63030 — REST /batch/v1 路由混淆失步
• CVE-2026-60137 — WP_Query author__not_in SQL 注入

本仓库是他们所披露攻击链的独立概念验证实现；并不声称发现了底层漏洞。如果任何归属信息不完整或不正确，请提交 issue，我们将予以更正。

参考资料

• Searchlight Cyber / Assetnote — wp2shell：WordPress 核心中的预认证 RCE https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core/
• WordPress 7.0.2 发布（修复）— https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
• 安全公告 — GHSA-ff9f-jf42-662q、GHSA-fpp7-x2x2-2mjf

免责声明

这是一个安全研究概念验证，用于授权的渗透测试与防御性验证。对您不拥有或未获书面测试许可的系统运行本工具属违法行为。作者对滥用行为不承担任何责任。