Основы Интернет - технологий.

Хакеры начали эксплуатировать критическую проблему wp2shell в ядре WordPress. Атакующие сканируют интернет в поисках уязвимых сайтов, загружают на них вредоносные плагины и веб-шеллы, создают административные аккаунты и добиваются удаленного выполнения команд. Как мы рассказывали ранее, wp2shell объединяет в себе две уязвимости: SQL-инъекцию в классе WP_Query (CVE-2026-60137), а также баг в пакетном эндпоинте REST API (CVE-2026-63030). Вторая проблема позволяет рассинхронизировать обработчики вложенных запросов и передать вредоносные данные в уязвимый WP_Query. В итоге неаутентифицированный атакующий получает возможность выполнить произвольный код на сайте с чистой установкой WordPress. Полная RCE-цепочка работает в WordPress с 6.9.0 по 6.9.4 и с 7.0.0 по 7.0.1, тогда как для версий с 6.8.0 по 6.8.5 угрозу представляет только SQL-инъекция. Исправления вошли в версии 6.8.6, 6.9.5 и 7.0.2, и в силу серьезности проблемы разработчики WordPress включили принудительную установку патчей через автоматические обновления. Хотя обнаружившие проблему исследователи не стали раскрывать технические подробности уязвимостей, вскоре после публикации информации о wp2shell в сети появились PoC-эксплоиты. Практически сразу после этого ИБ-специалисты предупредили, что уже фиксируют первые попытки эксплуатации. Как теперь сообщают аналитики компании Wiz, злоумышленники начали массово сканировать сеть в поисках уязвимых установок WordPress и пытаются загружать малварь через штатную функцию установки плагинов. На взломанных серверах были обнаружены как простые однострочные бэкдоры, так и обфусцированные веб-шеллы, замаскированные под различные плагины. Кроме того, через REST API атакующие запрашивают имена и email-адреса администраторов, пытаются прочитать wp-config.php через admin-ajax.php, а также устанавливают вредоносный плагин с отдельным REST-эндпоинтом для удаленного выполнения команд. Подчеркивается, что в некоторых случаях хакерам удалось проникнуть в панель администрирования, однако пока не было зафиксировано случаев бокового перемещения или кражи данных. В другом отчете об эксплуатации wp2shell специалист SANS Technology Institute Йоханнес Б. Ульрих (Johannes B. Ullrich) описал двухэтапные атаки. По его словам, сначала хакеры проверяли уязвимость ресурса перед SQL-инъекцией, а затем создавали PHP-веб-шелл в директории /wp-content/cache/ под случайным именем. Это же имя использовалось как пароль и передавалось в параметре URL (без него веб-шелл отображает поддельную страницу с ошибкой 404). Код проверял доступность функций system(), passthru(), exec(), shell_exec(), popen() и оператора обратных кавычек, после чего выбирал подходящий способ выполнения команд. В отдельных атаках злоумышленники создавали и новые аккаунты администраторов. По информации экспертов Defiant, первое связанное с wp2shell сканирование было зафиксировано еще 17 июля 2026 года, и всего через 13 минут после этого исследователи заметили явную попытку эксплуатации SQL-инъекции. Администраторам настоятельно рекомендуется установить актуальную версию WordPress как можно скорее, проверить логи, изучить список плагинов и содержимое директории /wp-content/cache/, а также поискать новые PHP-файлы и неизвестные учетные записи администраторов.