Ai actualizat WordPress luna trecută? Crezi că site-ul tău e, acum, în siguranță? Totuși, dacă ai rulat versiunea 6.9 sau 7.0 înainte de 17 iulie 2026, ai fost expus. Cineva ar fi putut prelua controlul total al site-ului tău. Fără parolă, fără cont, fără niciun semn vizibil. Se numește WP2Shell și e vulnerabilitatea care a alarmat toată industria de securitate WordPress în doar câteva zile. Practic, combină două breșe din nucleul WordPress — o confuzie de rute în API și o injecție SQL. Împreună, formează un singur atac care rulează cod direct pe server. Rezultatul e simplu și brutal. Un atacator anonim poate crea conturi de administrator, instala pluginuri false și lăsa uși ascunse pe site. Mai jos, îți arătăm exact cum funcționează atacul, ce site-uri sunt expuse și ce trebuie să faci chiar acum.
Ce este WP2Shell și de ce a alarmat toată industria WordPress?
WP2Shell este numele dat de cercetători unui lanț de două vulnerabilități critice din nucleul WordPress. Sunt urmărite oficial caCVE-2026-63030 și CVE-2026-60137. De fapt, permit unui atacator neautentificat să execute cod pe orice site WordPress vulnerabil. Fără cont și fără niciun plugin instalat.
Lanțul complet primește un scor CVSS de 9.8, aproape maximul posibil pe scala de severitate. Prin urmare, orice specialist în securitate îl tratează drept prioritate absolută. Vulnerabilitatea a fost descoperită de Adam Kues, cercetător laAssetnote, divizia Searchlight Cyber. Apoi, a fost raportată responsabil prin programul HackerOne al WordPress. Echipa de securitate WordPress a publicat patch-urile pe 17 iulie 2026. Din cauza gravității, a activat și actualizări automate forțate pentru toate instalările afectate. E o măsură rar folosită, rezervată situațiilor de urgență reală.
Cum funcționează atacul: de la un API uitat la control total asupra serverului
Atacul WP2Shell nu exploatează un plugin terț sau o temă neglijentă. De fapt, folosește chiar mecanismele native ale WordPress, combinate într-un mod pe care nimeni nu-l anticipase.
Ruta batch din API, activă din 2020
CVE-2026-63030 e o problemă de confuzie a rutelor (CWE-436) în endpointul/wp-json/batch/v1. Acest endpoint grupează mai multe cereri API într-o singură solicitare. Există în WordPress încă din versiunea 5.6, lansată în 2020. Practic, a stat la vedere șase ani înainte ca cineva să găsească modul de a-l folosi greșit. Ca vulnerabilitate de sine stătătoare, primește un scor de 7.5 — deja sever. Însă devine cu adevărat periculoasă abia combinată cu a doua breșă.
Injecția SQL care deschide ușa spre execuția de cod
CVE-2026-60137 este o injecție SQL în clasaWP_Query, componenta responsabilă cu majoritatea interogărilor de conținut din WordPress. Ruta batch permite strecurarea unor parametri interziși direct în aceste interogări interne. Cu alte cuvinte, un atacator folosește primul defect ca portar. Pe al doilea îl folosește ca să vorbească direct cu baza de date. Rezultatul final e execuția de cod la distanță, pe un site fără nicio autentificare.
Ce versiuni de WordPress sunt afectate?
Riscul depinde strict de versiunea instalată. Iată situația exactă, confirmată de mai multe firme de securitate:
| Versiune WordPress | Vulnerabilitate prezentă | Versiune de remediere |
|---|---|---|
| 6.9.0 – 6.9.4 | Lanț complet (RCE) | 6.9.5 |
| 7.0.0 – 7.0.1 | Lanț complet (RCE) | 7.0.2 |
| 6.8.0 – 6.8.5 | Doar injecția SQL | 6.8.6 |
Toate cele trei versiuni de remediere au apărut pe 17 iulie 2026. Dacă administrezi mai multe site-uri WordPress, verifică fiecare instalare în parte. Un site actualizat automat luna trecută poate rula, totuși, o versiune vulnerabilă. Asta se întâmplă dacă actualizarea forțată a eșuat silențios, fără nicio alertă vizibilă.
Ce fac atacatorii chiar acum pe site-urile vulnerabile
În orele de după publicarea detaliilor tehnice, mai multe exploit-uri funcționale au apărut pe GitHub. FirmaVulnCheck a confirmat peste 24 de variante unice de exploit deja pe 19 iulie 2026. Asta înseamnă doar două zile de la dezvăluire. Deci nu mai vorbim despre o amenințare teoretică, ci despre un atac activ, la scară largă.
Honeypot-urile WatchTowr au înregistrat zeci de mii de tentative de exploatare într-un singur weekend. Peste 100 de conturi de administrator false au fost create de grupuri de atacatori diferite. Au folosit variații ale acelorași unelte publice. Cercetătorii au urmărit activitatea către cel puțin 13 adrese IP diferite. Tiparul e clar: de la sondări țintite, la scanare globală, făcută la întâmplare, pe tot internetul. De aceea, o astfel de creștere rapidă schimbă regula jocului. Administratorii de hosting serioși tratează orice RCE neautentificat din WordPress ca pe o urgență. E vorba de câteva ore, nu de câteva zile.
Odată intrați, atacatorii instalează pluginuri false care le oferă execuție de cod persistentă sau descarcă unelte suplimentare. Firma de securitateQualys ThreatPROTECT confirmă exploatarea activă. Menționează, de exemplu, cel puțin un caz relevant. Atacatorii au încercat repetat să instaleze Overlord, un troian de acces la distanță scris în Go. Într-o primă fază, exploit-urile publice au fost folosite mai ales pentru a extrage parole criptate (hash-uri). Apoi, pe măsură ce au apărut mai multe detalii tehnice, atacatorii au trecut direct la execuția de cod.
Cum verifici dacă site-ul tău a fost deja compromis
Un patch aplicat la timp nu îți spune nimic despre ce s-a întâmplat înainte de el. De aceea, verificarea separată a semnelor de compromitere e obligatorie, chiar dacă site-ul rulează deja versiunea corectă.
- Verifică jurnalele firewall-ului sau ale pluginului de securitate (Wordfence, Sucuri, Cloudflare) pentru cereri blocate sau suspecte pe ruta API batch.
- Caută fișiere PHP noi sau recent modificate în
wp-content, mai ales în foldere de pluginuri sau teme neobișnuite. - Revizuiește lista completă de conturi de administrator — un cont creat recent, cu un nume generic, e un semnal de alarmă clar.
- Fii atent la redirecționări neașteptate, cod JavaScript injectat sau conexiuni de ieșire necunoscute din server.
- Folosește testerul gratuit publicat de Searchlight Cyber pe wp2shell.com, construit special pentru verificarea rapidă a expunerii.
Ce trebuie să faci acum, pas cu pas
Prima acțiune, fără excepție, e actualizarea la 7.0.2, 6.9.5 sau 6.8.6, în funcție de ramura pe care o rulezi. Totuși, actualizarea automată forțată poate eșua din diverse motive. Cele mai frecvente sunt permisiunile de fișiere greșite, conflictele de plugin sau limitele de resurse pe hosting. Așadar, verifică manual, din zona de administrare, că versiunea afișată e chiar cea corectă.
Dacă găsești orice semn de compromitere din lista de mai sus, patch-ul singur nu rezolvă problema. În acest caz, restaurează site-ul dintr-un backup verificat, dinainte de 17 iulie 2026. Apoi, rotește parolele de bază de date, de hosting și de administrator. De asemenea, regenerează salt-urile WordPress din fișierulwp-config.php. În final, anulează toate sesiunile active înainte de a repune site-ul online.
Ca măsură suplimentară, dezactivează sau restricționează ruta batch a API-ului REST, dacă nu o folosești explicit. Majoritatea site-urilor obișnuite nu depind de ea. Companiile de securitate precum Wordfence au livrat reguli de firewall chiar în ziua dezvăluirii, pentru clienții cu abonamente plătite. Utilizatorii gratuiți primesc, în schimb, aceeași protecție cu o întârziere standard. O regulă de firewall reduce riscul cât actualizezi, dar nu înlocuiește niciodată patch-ul de bază. În fine, monitorizează atent jurnalele următoarele 48-72 de ore — perioada în care majoritatea atacurilor automate lovesc site-urile neactualizate.
De ce contează scara acestui incident
De fapt, cifrele din teren sunt clare. Specialiștii vorbesc despre WP2Shell ca despre unul dintre cele mai grave incidente de securitate WordPress din ultimii ani. Estimările actuale se bazează pe un grup de site-uri active, verificate direct. Ele plasează expunerea potențială la zeci, poate sute de milioane de instalări WordPress cu configurație implicită, la nivel global.
Desigur, doar o parte rămâne, în cele din urmă, efectiv vulnerabilă — pentru că mulți administratori actualizează rapid. Totuși, proporția din totalul instalărilor WordPress e suficient de mare. Așadar, orice site neactualizat devine o țintă probabilă, nu doar posibilă. Pe scurt, viteza de reacție contează la fel de mult ca patch-ul în sine. Primele zile după o dezvăluire de acest tip sunt exact fereastra pe care atacatorii o exploatează cel mai agresiv. Iar site-urile actualizate cu întârziere ajung, statistic, printre primele lovite.
Concluzie
WP2Shell nu e o vulnerabilitate obscură, dintr-un plugin de nișă, pe care o poți amâna pentru weekend. E o breșă din nucleul WordPress, exploatată deja masiv, la doar câteva zile de la publicare. Actualizarea la ultima versiune rămâne pasul obligatoriu. Însă verificarea semnelor de compromitere anterioară e la fel de importantă. Un site „actualizat” poate ascunde, în continuare, un backdoor plantat înainte de patch. De multe ori, diferența dintre un incident minor și o pierdere completă de control se joacă în primele ore. Ele vin imediat după o dezvăluire ca aceasta.
Întrebări frecvente despre WP2Shell
Ce este WP2Shell?
WP2Shell este numele dat de cercetători unui lanț de două vulnerabilități critice din nucleul WordPress, CVE-2026-63030 și CVE-2026-60137. Practic, combinate, permit unui atacator neautentificat să execute cod pe un site WordPress vulnerabil. Nu are nevoie de parolă, nici de vreun plugin instalat.
Ce versiuni de WordPress sunt afectate de WP2Shell?
Lanțul complet afectează WordPress 6.9.0-6.9.4 și 7.0.0-7.0.1. În schimb, versiunile 6.8.0-6.8.5 conțin doar componenta de injecție SQL. Actualizările de remediere sunt 6.9.5, 7.0.2 și, respectiv, 6.8.6, publicate pe 17 iulie 2026.
Cum știu dacă site-ul meu WordPress a fost atacat prin WP2Shell?
Verifică jurnalele firewall-ului sau ale pluginului de securitate pentru activitate suspectă pe API REST. Caută, de asemenea, fișiere PHP noi sau modificate în wp-content. Listează, în plus, conturile de administrator pentru nume necunoscute. Poți folosi și testerul gratuit publicat de Searchlight Cyber pe wp2shell.com.
E suficient să actualizez WordPress pentru a fi în siguranță?
Actualizarea închide breșa, dar nu elimină un backdoor plantat înainte de patch. Dacă site-ul a fost deja compromis, ai nevoie de mai mult. Trebuie să restaurezi dintr-un backup curat și să rotești parolele și salt-urile WordPress. În plus, verifică toate conturile de administrator.
Ce este ruta batch din API-ul REST și de ce e periculoasă?
Este un endpoint (/wp-json/batch/v1) prezent în WordPress din 2020, care grupează mai multe cereri API într-una singură. O confuzie în interpretarea rutelor permite strecurarea unor parametri interziși spre interogări interne ale bazei de date. Așa se deschide calea spre injecția SQL.
Cine a descoperit vulnerabilitatea WP2Shell?
Vulnerabilitatea a fost descoperită de Adam Kues, cercetător la Assetnote, divizia de gestionare a suprafeței de atac a Searchlight Cyber. Apoi, a fost raportată responsabil prin programul HackerOne al WordPress.