wp2shell (CVE-2026-63030): verifică dacă WordPress-ul tău a rămas pe o versiune vulnerabilă

Lanțul denumit wp2shell combină o confuzie de rută în endpoint-ul REST batch (CVE-2026-63030) cu o injecție SQL legată de author__not_in (CVE-2026-60137). Rapoartele publice au descris exploatare activă și proof-of-concept-uri. Chiar dacă remedierile au apărut în vară, multe instalări rămân în urmă.

Ce versiuni au fost afectate

Buletinele publice au menționat, printre altele, serii din familia 6.8–7.0 înainte de remedieri. Confirmă întotdeauna lista exactă din advisory-ul pe care îl urmezi și versiunea ta curentă.

wp core version

Dacă nu ai WP-CLI, verifică din Dashboard → Updates sau fișierul wp-includes/version.php fără a-l expune public.

Ce verifici acum

1. Core-ul este pe o versiune remediată și suportată.
2. Nu există backdoor-uri rămase dintr-o compromitere anterioară.
3. Regulile WAF care blochează /wp-json/batch/v1 sunt încă necesare sau pot fi revizuite după patch.

Blocarea REST poate afecta blocuri și aplicații legitime. Folosește-o ca măsură temporară documentată, nu ca înlocuitor permanent al actualizării.

Pentru site-uri pe XSERVERE, corelează versiunea WordPress cu backup-ul recent și cu accesul administrativ înainte de orice remediere de urgență.