Una nuova ondata di attacchi ha colpito il cuore di WordPress attraverso wp2shell, una coppia di vulnerabilità critiche identificate come CVE-2026-63030 e CVE-2026-60137. Gli aggressori sfruttano queste falle per installare webshell persistenti e piazzare plugin malevoli sui server vulnerabili, ottenendo in molti casi un accesso completo ai pannelli di amministrazione. Il problema riguarda il WordPress Core, quindi non un singolo tema o una singola estensione, ma il motore stesso su cui girano milioni di siti in tutto il mondo.
La catena di exploit prende di mira la funzione di elaborazione in batch della REST API di WordPress. In pratica questo permette a un attaccante remoto di eseguire codice sulle installazioni vulnerabili senza dover fare login. Nessuna password, nessuna autenticazione, nessun ostacolo. I dettagli tecnici non sono stati diffusi subito, ma i primi exploit dimostrativi sono comparsi nel weekend, poco dopo che la società di threat intelligence SearchLight Cyber aveva reso pubblica la questione. Lo sfruttamento attivo è stato confermato quasi immediatamente, subito dopo che WordPress ha corretto il difetto nelle versioni 7.0.2, 6.9.5 e 6.8.6, forzando gli aggiornamenti di sicurezza automatici per le installazioni supportate.
Cosa fanno davvero gli aggressori
La società di sicurezza cloud Wiz ha raccolto una serie di dettagli sugli attacchi osservati. C’è stata una scansione di massa alla ricerca di installazioni vulnerabili, buona parte legata proprio all’attività di scanning. Poi l’abuso della funzione di caricamento dei plugin per installare add-on malevoli. Vengono piazzate webshell PHP di ogni tipo, da semplici backdoor scritte in una riga fino a shell più complesse e offuscate, mascherate da plugin come CMSmap. In alcuni casi gli attaccanti interrogano la REST API per raccogliere nomi utente ed email degli amministratori, tentano inclusioni di file locali su wp-config tramite admin-ajax.php per recuperare le credenziali del database e le chiavi di autenticazione, e arrivano a distribuire un plugin malevolo che espone un endpoint della REST API per eseguire comandi da remoto. Wiz precisa di non aver osservato movimenti laterali o esfiltrazione di dati, ma continua a tenere sotto controllo l’attività.
Un rapporto separato firmato da Johannes B. Ullrich del Sans Technology Institute descrive attacchi in due fasi. Prima una SQL injection di prova per confermare la presenza della vulnerabilità, poi la consegna vera e propria della webshell sul server. Il file veniva creato nella cartella /wp-content/cache/ con un nome casuale, usato anche come password per accedervi tramite una variabile nell’URL. In caso contrario la pagina restituiva un falso errore 404. Il codice controllava la disponibilità di funzioni PHP come system(), passthru(), exec(), shell_exec(), popen() o l’operatore backtick per tentare di eseguire comandi. Ullrich segnala inoltre la creazione di account amministratore fasulli e consiglia di controllare la cartella /cache/ e la lista degli utenti.
Aggiornamenti e stato delle patch
Anche Defiant, azienda specializzata nella sicurezza di WordPress, ha pubblicato un resoconto. Il primo tentativo di sondaggio è stato osservato alle 23:29 UTC del 17 luglio, seguito da un chiaro tentativo di SQL injection appena 13 minuti dopo. Agli amministratori viene raccomandato di aggiornare subito alle versioni corrette, esaminare i log alla ricerca di richieste legate a wp2shell, ispezionare i plugin installati e verificare la presenza di file PHP sospetti o account amministratore appena creati.
Il ricercatore Yutaka Sejiyama di Macnica ha messo in piedi una dashboard che monitora in tempo reale il ritmo di applicazione delle patch. Il portale riporta un tasso dell’81,6 per cento su un campione di 124.580 siti analizzati. Il ricercatore di SearchLight Cyber Adam Kues ha invece pubblicato un approfondimento sul processo che ha portato alla scoperta di wp2shell e allo sviluppo della catena di exploit funzionante, un lavoro che ha coinvolto anche l’uso di strumenti di intelligenza artificiale.