Опубликован эксплойт для цепочки RCE в WordPress

Исследователи безопасности опубликовали wp2shell-PoC, демонстрирующий возможность удаленного выполнения кода (RCE) в системе управления контентом WordPress. Уязвимость эксплуатирует цепочку из двух критических багов: CVE-2026-63030 и CVE-2026-60137.

Механизм атаки основан на комбинации route confusion и SQL-инъекции. Данная связка позволяет злоумышленнику получить доступ к системе без предварительной аутентификации. Инструмент предоставляет функционал для проверки уязвимости целевого ресурса, чтения данных из базы и непосредственного выполнения произвольных команд на сервере.

На текущий момент PoC доступен в открытом репозитории на GitHub. Использование подобных инструментов ограничено рамками тестирования на проникновение и аудита безопасности собственных систем. Разработчикам рекомендуется проверить актуальность версий WordPress и наличие патчей, закрывающих указанные идентификаторы уязвимостей.

Обнаружение подобных цепочек подчеркивает риски, связанные с ошибками маршрутизации в популярных CMS. Возможность выполнения кода без авторизации является критическим вектором атаки, требующим немедленного обновления инфраструктуры для предотвращения несанкционированного доступа к данным.