WordPress core wp2shell CVE-2026-63030/60137: SQLi e route confusion in RCE pre-auth, exploit pubblici

Il difetto stavolta è nel core di WordPress e riguarda ogni installazione a prescindere dai plugin, il che cambia la scala del problema: la catena battezzata wp2shell porta all'esecuzione di codice da remoto senza autenticazione su un'installazione WordPress predefinita, senza bisogno di account, componenti di terze parti o interazione dell'utente. La compongono due vulnerabilità del core: la CVE-2026-63030, una route confusion nella REST API introdotta con la versione 6.9 e raggiungibile sull'endpoint /wp-json/batch/v1, con CVSS 9.8, e la CVE-2026-60137, una SQL injection nel parametro author__not_in di WP_Query. Concatenate, la SQL injection cieca estrae dati dal database, inclusi gli hash delle password degli amministratori, e la route confusion trasforma l'attacco in RCE pre-autenticazione.

La catena è stata documentata da Adam Kues di Searchlight Cyber, e il rischio è già concreto: dopo la pubblicazione dei proof of concept su GitHub, watchTowr ha dichiarato di osservare i primi segni di sfruttamento in rete, con evidenze comparse entro 24 ore dalla divulgazione. Il perimetro potenziale è enorme, oltre 500 milioni di siti girano su WordPress, anche se la catena completa colpisce solo le versioni recenti, dalla 6.9.0 alla 6.9.4 e dalla 7.0.0 alla 7.0.1. Sulla gravità della sola SQL injection le fonti non coincidono, l'alert ACN le assegna un CVSS 5.9 mentre WordPress e i ricercatori la classificano di gravità alta; la sostanza non cambia, perché è la combinazione con la route confusion a produrre la RCE non autenticata.

Rispetto ai casi già trattati nel bollettino, dove i bug WordPress stavano nei plugin (dal file upload di Ninja Forms in giù), qui il difetto è nel core e riguarda potenzialmente ogni sito aggiornato ai rami vulnerabili, senza distinzione di estensioni installate. È un bacino vastissimo anche in Italia, dove WordPress regge una quota enorme dei siti di PA locale, PMI e associazioni: a doversene preoccupare è chiunque gestisca un sito sui rami 6.9 o 7.0 non aggiornati. La correzione è disponibile nelle versioni 6.9.5 e 7.0.2, e con exploit pubblici in circolazione l'aggiornamento va trattato come un'emergenza.

• Versioni affette: WordPress core 6.9.0–6.9.4 e 7.0.0–7.0.1 per la catena completa wp2shell; la sola SQL injection CVE-2026-60137 interessa anche i rami 6.8.0–6.8.5, senza però arrivare alla RCE, assente la route confusion introdotta nella 6.9.
• Azione raccomandata: aggiornare con urgenza a WordPress 6.9.5 o 7.0.2 (o successive); dove l'aggiornamento immediato non è possibile, filtrare o limitare l'accesso all'endpoint REST /wp-json/batch/v1; verificare i log per richieste anomale a quell'endpoint e per query sospette, e in caso di sospetta compromissione ruotare le credenziali amministrative.
   

Fonti: ACN, Rapid7, The Hacker News, Bleeping Computer