WordPress lagar alvarlegan galla sem gerir árásarmönnum kleift að yfirtaka vefsíður

WordPress gaf út neyðaröryggisuppfærslur á föstudag til að loka alvarlegum fjarkeyrslugalla (RCE) sem krefst ekki auðkenningar og gerir óþekktum árásarmanni kleift að ná fullri stjórn á hvaða sjálfgefnu WordPress-uppsetningu sem er með einni HTTP-beiðni.

Gallinn

Útgáfur 7.0.2 og 6.9.5, sem komu út 17. júlí 2026, laga gallann sem er skráður sem CVE-2026-63030 og hefur fengið nafnið "wp2shell" af rannsakendum sem uppgötvuðu hann. Gallinn tengir saman rugling á REST API lotuleiðum og SQL innspýtingu til að ná fram óauðkenndri RCE, sem er alvarlegasti flokkur vefveikleika, og krefst engrar innskráningar, sérstakra stillinga eða viðbóta.nebula+3

Villan hefur áhrif á WordPress 6.9.0 til 6.9.4 og 7.0.0 til 7.0.1. Skyldur en minna alvarlegur SQL innspýtingargalli, CVE-2026-60137, hefur áhrif á útgáfur frá 6.8 og er lagaður í 6.8.6. Útgáfur fyrir 6.8 eru óáhrifaðar af báðum vandamálunum.aikido+2

Samkvæmt bloggfærslu frá Cloudflare ↘ 10.51% sem birt var á föstudag er hægt að nýta RCE-gallann "þegar viðvarandi hlutaminni er ekki í notkun," sem á við um flestar staðlaðar WordPress-uppsetningar. Öryggisteymi WordPress upplýsti Cloudflare um veikleikana fyrir opinbera útgáfu, sem gerði fyrirtækinu kleift að setja upp WAF-varnir klukkan 17:03 UTC.cloudflare

Viðbrögð og úrbætur

WordPress.org hefur virkjað þvingaðar sjálfvirkar uppfærslur fyrir viðkomandi síður, þó að uppsetningar með óvirkar sjálfvirkar uppfærslur eða útgáfustýrð umhverfi fái hugsanlega ekki plásturinn sjálfkrafa. Opinber tilkynning WordPress kallaði þetta "alvarlegasta og forgangsmesta mál" samtakanna.wordpress+2

Fyrir síður sem geta ekki uppfært strax er öryggisteymum ráðlagt að loka á bæði `/wp-json/batch/v1` og fyrirspurnarstrenginn `?rest_route=/batch/v1` á WAF-stigi. Að loka aðeins á snyrtilegu slóðina skilur aðra leiðina opna.nebula+1

Þversögn opins hugbúnaðar

Þar sem WordPress er opinn hugbúnaður gerir opinber útgáfa lagfæringarinnar, og þar með leiðarvísir að villunni, hana aðgengilega bæði vörnum og árásarmönnum. Engar misnotkunartilvik hafa verið tilkynnt við birtingu, en öryggisrannsakendur bentu á að þegar kemur að RCE-veikleikum í kjarna kerfisins "skipta klukkustundir meira máli en dagar". WordPress knýr um 40 prósent allra vefsíðna, sem gerir tímabilið milli útgáfu plásturs og útbreiddrar notkunar að tíma mikillar áhættu fyrir óuppfærðar uppsetningar.nebula