Atacantes começaram a explorar duas vulnerabilidades críticas no WordPress que, quando combinadas, permitem execução remota de código (RCE) sem autenticação e o comprometimento total de sites vulneráveis.
As duas falhas de segurança, registradas como CVE-2026-63030 e CVE-2026-60137, foram apelidadas de wp2shell.
"Nas primeiras horas da manhã de sábado (UTC, Tempo Universal Coordenado), a exploração bem-sucedida já estava em pleno andamento, inicialmente usando código de exploit público para exfiltrar credenciais em hash, com a execução remota de código surgindo logo que detalhes adicionais foram tornados públicos", afirmou Jake Knott, pesquisador-chefe de segurança da watchTowr, ao The Hacker News em comunicado.
"Do nosso ponto de observação sobre uma base global de clientes, estamos vendo um impacto amplo dessa vulnerabilidade em organizações de todos os tamanhos e setores".
Dados de telemetria capturados pela KEVIntel mostram que 13 endereços IP (Protocolo de Internet) únicos da Suíça, Alemanha, Reino Unido, Indonésia, Lituânia, Países Baixos e Singapura foram associados à exploração da CVE-2026-63030.
Ryan Dewhurst, fundador e CEO da KEVIntel, disse ao The Hacker News que a exploração se expandiu do direcionamento a sensores específicos do WordPress para uma ampla varredura na internet, com requisições que correspondem a exploits de prova de conceito (PoC) disponíveis publicamente.
"Os atacantes usaram múltiplas técnicas de injeção de SQL (Structured Query Language - Linguagem de Consulta Estruturada), incluindo payloads cegos, baseados em UNION e baseados em Booleanos", disse Dewhurst. "Em nossos próprios testes, análises assistidas por IA tornaram trivial a reprodução da vulnerabilidade e o desenvolvimento de uma prova de conceito funcional. Isso reduz significativamente a barreira técnica para a produção de código de exploit assim que detalhes suficientes da vulnerabilidade são disponibilizados publicamente".
A cadeia de exploits, descoberta pela Searchlight Cyber com o uso do OpenAI GPT 5.6 Sol em mais de 10 horas, basicamente permite que atacantes não autenticados obtenham execução remota de código em instalações padrão do WordPress em qualquer versão lançada desde dezembro de 2025. Detalhes técnicos foram retidos diante da gravidade do problema.
"O ataque não exige pré-condições e pode ser explorado por um usuário anônimo em uma instalação padrão do WordPress, sem plugins", afirmou a Searchlight Cyber.
De acordo com a Cloudflare, a CVE-2026-63030 permite execução remota de código (RCE) sem autenticação somente quando o cache persistente de objetos não está em uso. Enquanto a vulnerabilidade de injeção de SQL (CVE-2026-60137) está presente a partir da versão 6.8, a RCE afeta versões a partir da 6.9.
"Esse exploit utiliza uma cadeia de vulnerabilidades em duas partes para obter injeção de SQL sem autenticação em uma instalação padrão do WordPress com uma única requisição HTTP (Protocolo de Transferência de Hipertexto)", explicou Ben Marr, engenheiro de segurança da Intruder. "A CVE-2026-60137 é o ponto de entrada: um bug de confusão de rota no endpoint de lote da API REST que contorna a autenticação, permitindo que um atacante invoque handlers internos sem nenhuma verificação de permissão".
"Essa falha decorre da sanitização inadequada do parâmetro 'author__not_in' dentro do 'WP_Query' quando dados não confiáveis são passados a ele por um plugin ou tema. Essa vulnerabilidade permite que entradas manipuladas alterem uma consulta ao banco de dados, podendo levar a acesso não autorizado ou manipulação de dados".
Dados da Wiz, pertencente ao Google, sugerem que 60% das organizações que usam WordPress inicialmente tinham pelo menos uma instância vulnerável no momento em que essas CVEs foram publicadas, e 25% estavam expondo um servidor vulnerável à internet. Os números caíram desde então, à medida que as organizações continuam a aplicar as correções.
A subsidiária de segurança em nuvem observou as seguintes atividades de pós-exploração após o abuso das duas falhas:
- Upload de um plugin malicioso
- Enumeração de usuários e coleta de nomes de usuário e endereços de e-mail de administradores
- Execução de ataques de inclusão local de arquivos (LFI) para mirar credenciais de banco de dados e chaves de autenticação visando exfiltração
- Acesso ao painel administrativo e autenticação bem-sucedida
- Upload de um web shell PHP minimalista que facilita a execução remota de código
"Também observamos atividade de varredura de alto volume sem pós-exploração subsequente, sugerindo campanhas oportunistas de varredura em massa buscando identificar alvos vulneráveis em meio à atividade legítima de varredura de segurança", disseram os pesquisadores da Wiz, Shahar Dorfman e Gili Tikochinski em comunicado. "Ainda não identificamos movimentação lateral ou exfiltração de dados, mas continuamos monitorando e investigando".
Também foi observado como parte da atividade um web shell de 150 KB disfarçado de plugin legítimo de segurança do WordPress chamado CMSmap. Ele atua como uma "plataforma de ataque completa", com suporte a gerenciamento de arquivos, acesso a banco de dados, varredura de portas, injeção de código em lote e múltiplos módulos de escalonamento de privilégios, incluindo exploração de UDF (Funções Definidas pelo Usuário) do MySQL.
A watchTowr também afirmou que os atacantes começaram a varrer a internet de forma indiscriminada após a divulgação de um exploit público, com seus honeypots registrando "dezenas de milhares de tentativas de exploração".
Mais de 100 contas de administrador de backdoor teriam sido criadas após a exploração, permitindo que os atacantes implantassem falsos plugins do WordPress para obter execução de código ou baixar ferramentas secundárias para ampliar o comprometimento do sistema. Em pelo menos um caso, um agente de ameaça foi observado tentando repetidamente instalar o Overlord RAT, um trojan de acesso remoto baseado em Golang.
Recomenda-se aos defensores que inspecionem suas instâncias do WordPress em busca de novas contas de administrador, plugins maliciosos ou outros arquivos suspeitos, independentemente de terem sido corrigidas, para eliminar completamente a ameaça.
Dewhurst afirmou que o raio de explosão potencial foi reduzido devido a medidas defensivas já em vigor. "O WordPress oferece suporte a atualizações automáticas em segundo plano para versões de segurança há vários anos, e alguns provedores de infraestrutura receberam aviso prévio e conseguiram implantar patches virtuais rapidamente", acrescentou. "Essas medidas reduziram a janela de exposição para sites que se atualizaram automaticamente ou foram protegidos pelas regras de WAF (Web Application Firewall - Firewall de Aplicação Web) relevantes".
"No entanto, sites em que as atualizações automáticas foram desativadas, não são suportadas ou não tiveram sucesso podem permanecer vulneráveis. Dada a escala de implantação do WordPress na web, um número significativo de instalações ainda pode estar sem patch. Operadores de sites que permaneceram vulneráveis após o código de exploit público ter sido disponibilizado devem atualizar imediatamente e revisar seus sistemas em busca de indicadores de comprometimento, em vez de presumir que apenas aplicar a correção é suficiente".
