CISA adicionou a vulnerabilidade CVE-2026-63030, parte da cadeia de ataque batizada de wp2shell, ao seu catálogo de vulnerabilidades conhecidas e exploradas (KEV) em 21 de julho de 2026, confirmando exploração ativa na internet. Combinada com CVE-2026-60137, a falha permite execução remota de código sem autenticação no WordPress Core, sem exigir plugins adicionais. O WordPress.org ativou atualizações forçadas via auto-update para todas as versões afetadas, procedimento reservado para correções de gravidade máxima.
Cadeia wp2shell tem dois CVEs
A cadeia wp2shell combina duas falhas distintas no WordPress Core. A primeira, CVE-2026-63030, é um problema de confusão de rota no endpoint batch da REST API, introduzido na reescrita do middleware de roteamento do WordPress 6.9. O endpoint batch foi projetado para agrupar múltiplas requisições em uma única chamada HTTP, recurso usado por aplicativos que consomem a API REST. A falha surge porque o roteador interno não revalida permissões ao desmembrar as sub-requisições, permitindo que um atacante contorne restrições de acesso. A segunda falha, CVE-2026-60137, é uma injeção SQL no parâmetro author__not_in do WP_Query, cuja sanitização incompleta permite que entradas controladas pelo atacante atinjam o banco de dados diretamente.
Encadeadas, as duas vulnerabilidades permitem que um atacante não autenticado realize injeção SQL e, subsequentemente, execução remota de código em qualquer instalação WordPress padrão, sem exigir plugins ou configurações especiais. A descoberta e a divulgação responsável foram creditadas a Adam Kues, pesquisador da Assetnote e Searchlight Cyber. A correção contou com a colaboração da equipe de segurança do WordPress e de representantes de provedores de hospedagem como Automattic, Cloudflare e WP Engine.
Versões afetadas e correção
O WordPress liberou correções para todas as versões afetadas e ativou atualizações forçadas por auto-update, procedimento reservado exclusivamente para correções de segurança críticas. A versão 7.0.2 corrige ambos os CVEs na linha 7.0.x; 6.9.5 resolve os dois problemas na 6.9.x; e 6.8.6 corrige apenas a injeção SQL isolada na linha 6.8.x. Versões anteriores a 6.8 não são afetadas.
| Versão do WordPress | Vulnerabilidades | Versão corrigida |
|---|---|---|
| 7.0.0 – 7.0.1 | Confusão de rota + SQLi | 7.0.2 |
| 6.9.0 – 6.9.4 | Confusão de rota + SQLi | 6.9.5 |
| 6.8.0 – 6.8.5 | Apenas SQLi | 6.8.6 |
| 7.1 beta | Confusão de rota + SQLi | 7.1 beta2 |
| Anteriores a 6.8 | Não afetada | — |
O NVD atribuiu CVSS 9.8 (Crítico) à CVE-2026-63030, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando explorabilidade remota sem privilégios e impacto total em confidencialidade, integridade e disponibilidade. A CISA classificou a exploração como ativa, a automação como possível e o impacto técnico como total no framework SSVC. O prazo para aplicação das correções foi 24 de julho de 2026, três dias após a inclusão no KEV.
Como funciona a exploração
O atacante envia uma requisição POST ao endpoint batch da REST API do WordPress com um sub-caminho malicioso. A confusão de rota faz o processador encaminhar a requisição interna sem aplicar as validações de permissão que uma chamada direta receberia. Isso permite alcançar o endpoint de posts com o parâmetro author__not_in contendo metacaracteres SQL. A injeção resultante manipula consultas ao banco de dados MySQL e, dependendo da configuração do servidor, pode escalar para execução de código através da escrita de arquivos PHP no diretório wp-content.
O ataque não deixa rastros óbvios nos logs convencionais, pois utiliza endpoints legítimos da REST API do WordPress. A requisição maliciosa trafega pela mesma rota usada por clientes legítimos, como o editor de blocos Gutenberg e aplicativos móveis. A detecção depende de análise contextual: padrões anômalos de parâmetros, frequência incomum de chamadas batch e criação de arquivos PHP em momentos próximos à exploração. Provas de conceito públicas já circulam em repositórios de código, reduzindo o tempo entre identificação de um alvo vulnerável e comprometimento efetivo.
Ações de contenção imediatas
Administradores WordPress devem executar os seguintes passos para mitigar a cadeia wp2shell:
- Verificar a versão ativa em cada instalação e confirmar 7.0.2, 6.9.5 ou 6.8.6 — não assumir que o auto-update forçado foi bem-sucedido sem conferir manualmente.
- Atualizar manualmente acessando o painel em Atualizações ou baixando o pacote diretamente do WordPress.org.
- Implementar regra em WAF bloqueando requisições POST para o endpoint batch e para o endpoint de posts com metacaracteres SQL no parâmetro
author__not_in. - Revisar logs de acesso HTTP buscando chamadas ao endpoint batch com sub-caminhos anômalos, códigos de status inesperados e novos arquivos PHP em
wp-content. - Monitorar conexões de saída do processo do servidor web, indicadoras de pós-exploração com web shells ou callbacks de comando e controle.
- Conduzir triagem forense conforme requisitos da CISA sob BOD 26-04, com prazo final em 24 de julho de 2026.
A janela entre divulgação e aplicação do patch é o fator determinante. Organizações que adiam correções críticas enfrentam o mesmo risco observado no zero-day ativo no PeopleSoft que exigiu patch emergencial da Oracle, ou na falha crítica no Langflow que permaneceu sem correção por meses. A cadeia wp2shell reforça que vulnerabilidades no próprio WordPress Core, não apenas em plugins ou temas, exigem prioridade máxima quando há exploração confirmada pela CISA e inclusão no KEV.