В системе управления web-контентом WordPress, которая по приблизительной оценке используется на 500 миллионах сайтах, выявлены две уязвимости, которые в комбинации позволяют получить полный доступ к панели администратора и выполнить код с привилегиями web-сервера через отправку внешнего запроса без прохождения аутентификации. Уязвимости, которым присвоено кодовое имя wp2shell, присутствуют в основной кодовой базе WordPress и не привязаны к темам оформления или плагинам, — для атаки достаточно, чтобы сайт на базе WordPress был доступен для внешних запросов. Проблемы устранены в корректирующих обновлениях 6.8.6, 6.9.5 и 7.0.2.

В эксплоите задействованы две уязвимости: CVE-2026-60137 — позволяет без прохождении аутентификации добиться подстановки SQL-запроса из-за отсутствия должной чистки параметра «author__not_in», который может быть передан плагином или темой оформления при использовании класса WP_Query.
CVE-2026-63030 — проблема с маршрутизацией запросов в пакетном режиме в REST API, которая даёт возможность сформировать внутренний запрос со специально оформленным значением параметра «author__not_in» для осуществления подстановки SQL-запроса.

В сети уже зафиксирована эксплуатация уязвимостей для совершения автоматизированной массовой атаки на сайты на базе WordPress для интеграции бэкдоров и установки вредоносных плагинов. Попытки атаки можно выявить по наличию запросов «/?rest_route=/batch/v1» в логе и появлению файлов со случайным именем в каталоге «/wp-content/cache/», в случае интеграции атакующим webshell. В качестве обходного пути защиты можно заблокировать обращение через REST API «/wp-json/batch/v1», а также блокировать все запросы с параметром «rest_route=/batch/v1».

Источник: http://www.opennet.ru/opennews/art.shtml?num=65946