Due vulnerabilità critiche presenti nel core di WordPress permettono attacchi di tipo Remote Code Execution (RCE) senza la necessità di autenticazione. La gravità della situazione è accentuata dalla disponibilità pubblica di exploit funzionanti e dai primi segnali di sfruttamento attivo in ambienti reali. È fondamentale applicare immediatamente gli aggiornamenti di sicurezza.

La catena di attacco, denominata wp2shell, consente a un aggressore di ottenere il controllo completo su siti web vulnerabili. A rendere la situazione particolarmente allarmante è la pubblicazione di diversi proof of concept (PoC) funzionanti sulla piattaforma GitHub e le prime segnalazioni di tentativi di sfruttamento in ambienti operativi.

Considerando che WordPress alimenta oltre il 40% dei siti web a livello mondiale, l’impatto potenziale di questa vulnerabilità è estremamente ampio. Le vulnerabilità, identificate con i codici CVE-2026-63030 e CVE-2026-60137, sono state scoperte dai ricercatori di Searchlight Cyber. È la combinazione sinergica delle due falle a consentire un attacco particolarmente insidioso anche su installazioni WordPress standard, prive di plugin aggiuntivi o configurazioni personalizzate.

La prima vulnerabilità riguarda il sistema REST API introdotto nelle versioni più recenti della piattaforma. Nello specifico, l’anomalia si manifesta nella gestione delle cosiddette “batch route”, una funzionalità implementata a partire da WordPress 6.9 che presenta un errore nella validazione delle richieste in ingresso.

La seconda vulnerabilità è di tipo SQL Injection e interessa il parametro author__not_in utilizzato dalla classe WP_Query, un componente fondamentale del motore di interrogazione del database di WordPress. Sfruttando congiuntamente queste due falle, un attaccante può ottenere l’esecuzione di codice sul server target senza dover effettuare alcun login.

Questo aspetto ha spinto gli esperti di sicurezza a classificare wp2shell come una delle minacce più serie per l’ecosistema WordPress degli ultimi anni. Le versioni maggiormente esposte sono WordPress 6.9 (dalla versione 6.9.0 alla 6.9.4) e WordPress 7.0 (dalla versione 7.0.0 alla 7.0.1), in cui entrambe le vulnerabilità sono contemporaneamente presenti.

La vulnerabilità di SQL Injection interessa anche la serie 6.8 di WordPress, ma in questo caso non può essere concatenata all’attacco RCE poiché l’errore relativo alla REST API è stato introdotto solo a partire dalla versione 6.9.

Di fronte a una situazione così critica, il team di sicurezza di WordPress ha adottato una misura rara: l’abilitazione degli aggiornamenti automatici forzati per tutte le installazioni supportate che eseguono versioni vulnerabili. L’obiettivo è ridurre al minimo la finestra temporale durante la quale gli aggressori possono compromettere i siti web prima dell’applicazione delle patch di sicurezza.

Le versioni corrette, che eliminano completamente entrambe le vulnerabilità e interrompono la catena di attacco, sono WordPress 6.9.5 e WordPress 7.0.2. Si raccomanda vivamente l’aggiornamento immediato a una di queste versioni.

Inizialmente, Searchlight Cyber aveva deciso di non divulgare i dettagli tecnici dell’exploit per concedere agli amministratori il tempo necessario per installare le patch. Successivamente è stato creato il sito web wp2shell.com, che permette di verificare rapidamente se una determinata installazione WordPress risulta vulnerabile.

Tuttavia, la situazione è evoluta rapidamente con la pubblicazione online di diversi exploit pubblici che dimostrano concretamente come sfruttare le falle. Alcuni di questi exploit utilizzano la SQL Injection per estrarre gli hash delle password degli amministratori, decifrarli offline e installare un plugin malevolo. Altri affermano di essere in grado di ottenere direttamente l’esecuzione di codice senza la necessità di compromettere alcun account amministrativo, uno scenario che coincide con quanto descritto dai ricercatori durante l’annuncio iniziale.

Nel frattempo, anche Cloudflare è intervenuta distribuendo nuove regole per il proprio Web Application Firewall (WAF). Le protezioni sono disponibili su tutti i piani del servizio, compresi quelli gratuiti, e sono progettate per intercettare sia gli attacchi che sfruttano la vulnerabilità di SQL Injection, sia quelli diretti contro l’errore nella REST API. L’azienda precisa che il WAF rappresenta esclusivamente una misura di mitigazione temporanea e non sostituisce in alcun modo l’installazione degli aggiornamenti ufficiali.

Per le organizzazioni che, per esigenze operative specifiche, non possono aggiornare immediatamente WordPress, Searchlight Cyber suggerisce alcune contromisure provvisorie. Tra queste figura il blocco dell’accesso anonimo alla REST API oppure il filtraggio degli endpoint /wp-json/batch/v1 e ?rest_route=/batch/v1 direttamente tramite firewall applicativo. Si tratta, tuttavia, di misure emergenziali che riducono la superficie di attacco senza eliminare realmente la vulnerabilità.