Kaj se je zgodilo
Raziskovalci podjetja Seqrite so po navedbah Cyber Security News dokumentirali napadalno verigo, imenovano WP2Shell, ki brez prijave pripelje do izvajanja kode na strežniku. Veriga združuje dve ranljivosti jedra WordPress. CVE-2026-63030 prizadene REST API paketni krmilnik na poti »/wp-json/batch/v1«, ki obdela več API zahtev v eni oddaji. Po navedbah Seqrite lahko gnezdene zahteve zmedejo usmerjanje poti in dosežejo funkcionalnost, ki bi sicer zahtevala prijavo. Ta napaka sama po sebi ne omogoča izvajanja kode, temveč odpre pot do druge ranljivosti.
CVE-2026-60137 je SQL injekcija v parametru »author__not_in« poizvedbe WP_Query, ki se pojavi, kadar vtičnik ali tema nefiltrirane vnose posreduje temu parametru. Kombinacija obeh napak napadalcu po navedbah Seqrite omogoči ustvarjanje administratorskega računa in namestitev spletne lupine prek vtičnika, s čimer je korak prijave v celoti izločen iz napada.
Obe ranljivosti sta uvrščeni v katalog CISA KEV, kar potrjuje, da gre za znano izkoriščani ranljivosti. CVE-2026-63030 ima po NVD oceno CVSS 3.1 9,8 (kritično), EPSS pa 10,6 % na dan 19. oktober 2026. CVE-2026-60137 ima oceno CVSS 3.1 5,9 (srednje), EPSS pa 5,3 % na isti dan. Prizadete so različice WordPress 6.8.x pred 6.8.6, 6.9.x pred 6.9.5 in 7.0.x pred 7.0.2, ranljivosti pa so bile po navedbah Seqrite razkrite julija 2026.
Kaj to pomeni za slovenska in evropska podjetja
WordPress poganja velik delež javno dostopnih spletnih mest, zato je veriga WP2Shell pomembna za vsako organizacijo, ki uporablja prizadete različice jedra. Ker napad ne zahteva prijave niti interakcije uporabnika, je javno dostopno mesto s prizadeto različico lahko izpostavljeno, še preden lastnik opazi sumljiv skrbniški račun ali nameščen vtičnik. Seqrite v svoji analizi z dne 16. oktobra sicer navaja prizadete različice, ne vzpostavlja pa razširjenega dejanskega izkoriščanja v naravi, zato velja podatke o obsegu napadov obravnavati previdno. Uvrstitev v CISA KEV pa potrjuje, da je bilo izkoriščanje dokumentirano.
Priporočeni ukrepi
- Posodobite WordPress na različico 7.0.2 ali novejšo, saj ta odpravlja obe ranljivosti.
- Preverite seznam skrbniških računov in nameščenih vtičnikov na vseh spletnih mestih, ki poganjajo prizadete različice.
- Spremljajte dnevnike dostopa do poti »/wp-json/batch/v1« zaradi morebitnih nenavadnih gnezdenih zahtev.
- Omejite dostop do REST API vmesnika, kjer to ni nujno potrebno za delovanje spletnega mesta.
- Preverite vtičnike in teme, ki uporabljajo parameter »author__not_in« znotraj WP_Query, saj lahko nefiltrirani vnosi omogočijo SQL injekcijo tudi po posodobitvi jedra.
Vprašanja in odgovori
Ali je dovolj posodobiti samo jedro WordPress? Posodobitev na 7.0.2 ali novejšo odpravi obe ranljivosti jedra, vendar velja preveriti tudi vtičnike in teme, ki bi lahko na ranljiv način uporabljali prizadeti parameter.
Ali napad zahteva prijavo uporabnika? Ne, po navedbah Seqrite veriga WP2Shell deluje brez avtentikacije, kar pomeni, da je lahko javno dostopno mesto izpostavljeno brez predhodne prijave napadalca.
Pogosta vprašanja
Kaj je WP2Shell?
WP2Shell je napadalna veriga, ki jo je dokumentiralo podjetje Seqrite in ki združuje dve ranljivosti jedra WordPress za doseganje izvajanja kode brez prijave.
Kateri sta ranljivosti v verigi WP2Shell?
Gre za CVE-2026-63030, napako usmerjanja v REST API paketnem krmilniku, in CVE-2026-60137, SQL injekcijo v parametru author__not_in poizvedbe WP_Query.
Ali sta ranljivosti v katalogu CISA KEV?
Da, obe ranljivosti, CVE-2026-63030 in CVE-2026-60137, sta uvrščeni v katalog CISA Known Exploited Vulnerabilities.
Katera različica WordPress odpravlja ranljivosti?
Ranljivosti so odpravljene v različici WordPress 7.0.2, pri starejših vejah pa v 6.8.6 in 6.9.5.
Sorodne objave
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- Napadalci izkoriščajo ranljivost v SiteGuard WAF za izvajanje ukazov kot SYSTEM ali root