WordPress lagar kritisk säkerhetshål som låter vem som helst kapa sajter

WordPress släppte akuta säkerhetsuppdateringar på fredagen för att täppa till en kritisk sårbarhet för fjärrkörning av kod (RCE) som tillåter en anonym angripare att ta full kontroll över vilken standardinstallation av WordPress som helst med en enda HTTP-förfrågan.

Sårbarheten

Versionerna 7.0.2 och 6.9.5, som släpptes den 17 juli 2026, åtgärdar felet som spåras som CVE-2026-63030 och som döpts till "wp2shell" av forskarna som upptäckte det. Sårbarheten kedjar ihop förvirring kring REST API-batchförfrågningar med SQL-injektion för att uppnå oautentiserad RCE, den mest allvarliga klassen av webbsårbarheter, utan att kräva inloggning, speciell konfiguration eller tillägg.nebula+3

Felet påverkar WordPress 6.9.0 till 6.9.4 och 7.0.0 till 7.0.1. Ett relaterat men mindre allvarligt SQL-injektionsproblem, CVE-2026-60137, påverkar versioner från 6.8 och framåt och är åtgärdat i 6.8.6. Versioner före 6.8 påverkas inte av något av problemen.aikido+2

Enligt ett blogginlägg från Cloudflare ↘ 10.51% som publicerades på fredagen är RCE-sårbarheten utnyttjningsbar "när en persistent objektcache inte används", ett tillstånd som gäller de flesta standardinstallationer av WordPress. WordPress säkerhetsteam informerade Cloudflare om sårbarheterna före den offentliga releasen, vilket gjorde att företaget kunde driftsätta WAF-skydd klockan 17:03 UTC.cloudflare

Åtgärder och respons

WordPress.org har aktiverat tvingande automatiska uppdateringar för berörda sajter, även om installationer med automatiska uppdateringar inaktiverade eller versionskontrollerade miljöer kanske inte får patchen automatiskt. Det officiella meddelandet från WordPress kallar det för organisationens "mest allvarliga och prioriterade typ av problem".wordpress+2

För sajter som inte kan uppdatera omedelbart rekommenderas säkerhetsteam att blockera både `/wp-json/batch/v1` och frågesträngsformen `?rest_route=/batch/v1` på WAF-nivå. Att bara blockera den snygga permalänk-sökvägen lämnar den alternativa rutten exponerad.nebula+1

Paradoxen med öppen källkod

Eftersom WordPress är öppen källkod gör det offentliga arkivet att fixen, och därmed en vägkarta till felet, blir tillgänglig för både försvarare och angripare samtidigt. Inga utnyttjanden har rapporterats vid tidpunkten för avslöjandet, men säkerhetsforskare noterar att när det gäller RCE-sårbarheter i kärnan "betyder timmar mer än dagar". WordPress driver uppskattningsvis 40 procent av alla webbplatser, vilket gör fönstret mellan tillgängligheten av en patch och dess breda spridning till en period av akut risk för oskyddade installationer.nebula