Duas vulnerabilidades no núcleo do WordPress podem ser encadeadas para executar código remotamente sem autenticação, segundo análise de Amruta Wagh, da equipe de pesquisa da Seqrite.
Batizada de WP2Shell, a cadeia de exploração teria surgido em julho de 2026 e combina confusão de rotas na REST API (interface de programação de aplicações do tipo REST) com injeção de SQL (linguagem de consulta estruturada), permitindo que invasores avancem de pontos de acesso públicos até o comprometimento do servidor, sem possuir credenciais válidas do WordPress.
A cadeia relatada afeta o WordPress 6.9.0 até 6.9.4 e 7.0.0 até 7.0.1. Sua relevância está em contornar o comprometimento inicial de conta normalmente exigido para ações administrativas, criando um caminho de exploração diretamente a partir de um site exposto.
Falhas críticas no WordPress
A primeira vulnerabilidade, CVE (identificador de vulnerabilidades e exposições comuns) CVE-2026-63030, afeta o controlador de lotes da REST API exposto por /wp-json/batch/v1. Essa funcionalidade processa várias requisições de API enviadas em uma única carga de dados em JSON (notação de objetos JavaScript).
Segundo a Seqrite, estruturas de lote aninhadas podem confundir a resolução de rotas e direcionar requisições a manipuladores não previstos.
Consequentemente, invasores podem acessar funcionalidades que, de outra forma, exigiriam autenticação. A vulnerabilidade não executa código de forma independente; ela fornece o ponto de entrada não autenticado necessário para a segunda etapa.
Essa etapa explora a CVE-2026-60137, uma vulnerabilidade de injeção de SQL envolvendo o ponto de acesso de publicações (posts). O parâmetro público author_exclude é mapeado internamente para o argumento author__not_in na classe WP_Query. O tratamento insuficiente de entradas permite que valores manipulados influenciem consultas ao banco de dados.
A combinação dessas falhas permite manipular o banco de dados por meio da interface de lotes exposta. A sequência de exploração demonstrada estabelece uma conta de administrador antes de implantar um plugin malicioso que contém uma web shell.
A execução de código, portanto, decorre de um comprometimento em várias etapas, e não surge diretamente apenas da confusão de rotas. A atividade de preparação documentada começa com arquivos temporários com o padrão temp-write-test-* dentro de wp-content/, aparentemente para verificar se o diretório é gravável. Esses arquivos são removidos em seguida.
Depois, um arquivo ZIP, como wp2shell_4e9b3641.zip, é preparado em wp-content/uploads/2026/10/. A extração grava cargas em PHP (PHP: Hypertext Preprocessor) em wp-content/upgrade/wp2shell_<hex>/, antes de o diretório do plugin ser movido para wp-content/plugins/wp2shell_<hex>/.
No ambiente observado, o processo httpd.exe realizou essas gravações. Embora a instalação legítima de plugins possa gerar atividade semelhante no sistema de arquivos, nomes de arquivos WP2Shell, arquivos PHP inesperados e contas de administrador recém-criadas fornecem pistas úteis para a investigação.
Equipes de defesa devem correlacionar esses artefatos com requisições POST enviadas ao protocolo HTTP (protocolo de transferência de hipertexto) para o ponto de acesso de lotes e com cargas de API aninhadas suspeitas. O relatório fornecido descreve comportamentos de prova de conceito e de laboratório, e não comprova exploração generalizada.
Versões afetadas e mitigação
A matriz de versões fornecida identifica o WordPress 6.8.0 até 6.8.5 como afetado pela injeção de SQL, mas não pela cadeia completa. Ela lista as versões 6.8.6, 6.9.5 e 7.0.2 como correções.
Administradores devem priorizar a atualização adequada e compatível com o suporte, revisar contas de administrador e investigar diretórios de plugins suspeitos e alterações em arquivos PHP.
Quando for operacionalmente viável, restringir o acesso não autenticado a funcionalidades sensíveis da REST API pode reduzir a exposição enquanto a correção avança.
A aplicação das correções deve ser acompanhada de uma avaliação de comprometimento, pois web shells instaladas anteriormente ou contas não autorizadas podem permanecer após a atualização dos componentes vulneráveis.
