wp2shell: krytyczny łańcuch luk w WordPressie i co z tym zrobić
WordPress załatał krytyczny łańcuch luk wp2shell, exploit już krąży w sieci
W połowie lipca 2026 roku zespół bezpieczeństwa WordPressa opublikował poprawki dla dwóch podatności w rdzeniu, które razem dają atakującemu pełne, zdalne wykonanie kodu na serwerze - bez logowania i bez żadnej interakcji użytkownika. Pierwsza, CVE-2026-60137, to błąd wstrzyknięcia SQL w parametrze author__not_in zapytania WP_Query. Druga, CVE-2026-63030, dotyczy sposobu, w jaki endpoint wsadowy REST API (/wp-json/batch/v1) przetwarza żądania w partii - błąd w synchronizacji walidacji i wykonania sprawia, że kolejne żądanie może zostać obsłużone przez zły handler. Osobno każda z tych luk jest groźna, razem tworzą łańcuch, który badacze nazwali wp2shell, bo końcowym efektem bywa podrzucenie powłoki na serwer ofiary.
Problem dotyczy WordPressa w wersjach od 6.8.0 do 7.0.1, w zależności od konkretnej luki. Łatki trafiły do wersji 6.8.6, 6.9.5 oraz 7.0.2. Kilka firm zajmujących się bezpieczeństwem potwierdziło aktywne wykorzystywanie luki w sieci, a publiczny kod exploita pojawił się w ciągu kilku dni od ujawnienia szczegółów 17 lipca. 21 lipca amerykańska agencja CISA dodała obie podatności do katalogu Known Exploited Vulnerabilities - to nie jest teoretyczne ryzyko, tylko coś, co realnie dzieje się na serwerach już teraz.
Dla administratora strony liczy się jedno pytanie: czy Twój WordPress jest zaktualizowany do wersji 6.8.6, 6.9.5, 7.0.2 albo nowszej? Jeśli nie - to pierwsza rzecz do zrobienia, zanim przeczytasz dalszą część tego tekstu. Gdy aktualizacja z jakiegoś powodu nie jest w tej chwili możliwa, tymczasowym obejściem jest zablokowanie dostępu do endpointu /wp-json/batch/v1 na poziomie zapory WAF albo wtyczki ograniczającej anonimowy dostęp do REST API. To prowizorka na czas do pełnej aktualizacji, nie docelowe rozwiązanie.
Warto też zajrzeć do katalogu wp-content/mu-plugins. Badacze opisują kampanie, w których atakujący podrzucają tam backdoory, bo pliki z tego katalogu ładują się automatycznie i rzadko są kontrolowane ręcznie. Jeśli widzisz tam plik, którego sam nie instalowałeś, to sygnał, że ktoś już mógł być na Twoim serwerze - wtedy sama aktualizacja rdzenia nie wystarczy, potrzebny jest pełny przegląd.
Ta historia pokazuje też coś, o czym piszemy przy okazji naszych testów: szybkość reakcji hostingu na krytyczne łatki to realny parametr, nie marketingowy slogan. Część hostingów wymusza aktualizacje bezpieczeństwa core'a na poziomie infrastruktury, część zostawia to wyłącznie w rękach klienta. Jak sprawdzamy taką reaktywność, opisaliśmy przy okazji naszej metodologii testów. Wyniki tych testów i aktualny ranking hostingów znajdziesz na stronie głównej.