Due vulnerabilità critiche individuate nel core di WordPress, denominate wp2shell, possono essere combinate per compromettere un sito web fino a consentire, in determinate condizioni, l’esecuzione di codice remoto e l’installazione di web shell.
A differenza della maggior parte delle vulnerabilità che interessano plugin o temi di terze parti, questa minaccia colpisce direttamente il core della piattaforma. La catena di attacco sfrutta una vulnerabilità di SQL Injection (CVE-2026-60137) e un errore nella gestione delle richieste batch della REST API di WordPress (CVE-2026-63030), permettendo a un attaccante non autenticato di accedere a funzionalità riservate e compromettere il sito.
Combinando le due falle, un attaccante non autenticato può accedere a funzionalità normalmente non disponibili agli utenti anonimi, sfruttare la SQL Injection presente nel core e ottenere accesso non autorizzato ai dati del sito. Nei casi più gravi, l’attacco può portare alla compromissione degli account amministrativi e all’installazione di web shell o di altro codice malevolo sul sistema.
Versioni interessate
La catena di attacco interessa:
- WordPress dalla versione 6.9.0 alla 6.9.4;
- WordPress dalla versione 7.0.0 alla 7.0.1.
Le versioni 6.8.0–6.8.5 sono interessate dalla sola vulnerabilità SQL injection CVE-2026-60137, senza essere esposte all’intera catena di attacco.
Versioni corrette
Le vulnerabilità sono state corrette nelle versioni:
- WordPress 6.8.6;
- WordPress 6.9.5;
- WordPress 7.0.2.
Verifiche consigliate
Il CERT-AGID invita le PA a verificare a verificare la versione installata e ad applicare quanto prima gli aggiornamenti di sicurezza.
Oltre all’aggiornamento, è opportuno controllare che il sistema non presenti segnali di compromissione, in particolare:
- richieste anomale verso gli endpoint /wp-json/batch/v1 e ?rest_route=/batch/v1;
- creazione di nuovi account amministrativi;
- modifiche inattese ai file del sito;
- installazione di plugin o temi sconosciuti;
- presenza di web shell o file PHP non riconducibili all’installazione;
- accessi o operazioni anomale sul database;
- modifiche alle configurazioni e alle credenziali del sito.
In presenza di elementi sospetti, il solo aggiornamento potrebbe non essere sufficiente. È necessario isolare il sistema, preservare le evidenze utili alle analisi forensi e verificare l’eventuale compromissione di credenziali, token e altri dati accessibili dal portale.
Qualora non fosse possibile aggiornare immediatamente la piattaforma, è possibile adottare come misura temporanea il blocco dell’accesso anonimo agli endpoint batch della REST API (/wp-json/batch/v1 e ?rest_route=/batch/v1) tramite WAF o configurazione del web server. Si tratta, tuttavia, di una mitigazione temporanea e non sostituisce l’installazione delle versioni corrette.
Per verificare se un’installazione WordPress è vulnerabile è disponibile il sito wp2shell.com, mentre ulteriori dettagli tecnici sono consultabili nell’avviso pubblicato dal CERT-AGID.
