Il 17 luglio 2026, una catena di vulnerabilità critiche in WordPress Core — denominata wp2shell e composta dalle CVE-2026-63030 e CVE-2026-60137 — è passata da scoperta assistita da intelligenza artificiale a exploitation attiva nel cloud in meno di 24 ore. Wiz Research ha documentato attacchi di successo contro istanze self-hosted quasi immediatamente dopo la pubblicazione, con deployment di webshell sofisticate e attività di post-exploitation in corso. WordPress.org ha risposto abilitando forced auto-updates, una misura senza precedenti per la gravità del caso.
- La catena wp2shell sfrutta un architectural flaw nella validazione dei parametri della REST API batch di WordPress, permettendo route confusion che bypassa la sanitizzazione e porta a SQL injection pre-autenticazione scalabile a RCE.
- Wiz Research ha osservato exploitation di successo "almost immediately" dopo la pubblicazione del 17 luglio, con deployment di plugin malevoli, webshell da 150KB mascherate da CMSmap, user enumeration e tentativi LFI per credenziali database.
- Al momento della pubblicazione, il 60% delle organizzazioni nel dataset Wiz aveva almeno un'istanza vulnerabile e il 25% espondeva server vulnerabile a Internet; entro 24 ore le percentuali sono scese al 50% e al 10%, indicando patching rapido ma exploitation altrettanto rapida.
- WordPress.org ha attivato forced auto-updates per le versioni affette (6.8.0-6.8.5, 6.9.0-6.9.4, 7.0.0-7.0.1) con fix in 6.8.6, 6.9.5 e 7.0.2, definendo la release di sicurezza come da applicare "immediately".
Come funziona l'attacco: architectural flaw nella batch API
Il nucleo tecnico della catena wp2shell risiede nella WordPress REST API batch processing. La validazione dei parametri — la funzione has_valid_params — è disaccoppiata dall'esecuzione del callback associato alla route. Questo disallineamento permette route confusion: un attaccante può instradare una richiesta verso un endpoint che supera il controllo di validità, ma il callback eseguito è quello di un'altra route con privilegi superiori o con accesso a funzionalità non previste.
Il vettore di exploitation osservato da Wiz Research abusa dell'endpoint /?rest_route=/batch/v1. La batch API è progettata per raggruppare multiple richieste REST in una singola chiamata, ma la mancata correlazione tra validazione ed esecuzione consente di iniettare parametri malformati che eludono la sanitizzazione standard. La SQL injection pre-autenticazione risultante viene quindi scalata a RCE senza necessità di cracking password, sfruttando la possibilità di eseguire codice attraverso il contesto privilegiato del callback confuso.
Secondo le release notes ufficiali di WordPress.org, la vulnerabilità è classificata come critica per la prima CVE e high per la seconda, con impatto RCE documentato. La fonte non specifica il CVSS numerico esatto, ma la gravità è coerente con il vettore pre-autenticazione, la completezza dell'impatto (confidenzialità, integrità, disponibilità) e la facilità di accesso da rete senza interazione utente.
Cosa ha osservato Wiz nel cloud: due famiglie di attacco
Wiz Research ha identificato due profili di exploitation distinti, entrambi attivi entro il 17-18 luglio 2026. Il primo è lo scanning di massa opportunistico: alto volume di richieste verso endpoint batch senza attività di post-exploitation successiva, tipico di campagne di ricognizione automatizzata. Un IP specifico, 172.235.128[.]52, è risultato associato a questo pattern di mass scanning.
Il secondo profilo è l'exploitation mirata con installazione di backdoor persistenti. Qui Wiz ha documentato almeno tre artefatti malevoli. Il primo è una webshell PHP minimale, un one-liner con evasione basata su risposta HTTP 404 che nasconde la presenza dell'accesso remoto. Il secondo è una piattaforma d'attacco di 150KB mascherata da plugin denominato "CMSmap", con interfaccia grafica, autenticazione password, gestione file, accesso database, port scanning, iniezione batch di codice e privilege escalation tramite MySQL UDF. L'obfuscation impiega concatenazione hex-encoded, gzip, base64 e eval. Il terzo artefatto registra un endpoint REST API custom (/morning/v1/[REDACTED]) per esecuzione comandi via POST con output JSON, indicando adattamento all'infrastruttura WordPress stessa.
Le attività di post-exploitation documentate includono: upload di plugin malevoli per persistenza, enumerazione utenti via REST API, tentativi LFI (Local File Inclusion) per estrarre credenziali database, e accesso al pannello amministrativo. Wiz Research esplicitamente dichiara di non aver ancora identificato lateral movement o data exfiltration, pur continuando il monitoraggio.
La velocità del ciclo: da 25 dollari a exploitation globale in un giorno
La scoperta della vulnerabilità è stata effettuata da Searchlight Cyber utilizzando OpenAI GPT 5.6 Sol Ultra, con un costo stimato di circa 25 dollari — corrispondente al 50% di un abbonamento settimanale da 200 dollari. Il ricercatore Adam Kues ha commentato che "the post-exploitation work Sol had done to escalate this to RCE was completely absurd", riferendosi alla capacità del modello di generare la catena completa fino all'esecuzione remota di codice.
L'elemento che altera i parametri del rischio non è la scoperta AI in sé, ma il collasso temporale del ciclo discovery-to-exploitation. La vulnerabilità è stata pubblicata con PoC il 17 luglio; entro quella stessa giornata e la successiva, Wiz ha rilevato exploitation attiva, WordPress.org ha rilasciato le patch, e il tasso di esposizione è crollato di 10 punti percentuali per le istanze vulnerabili e di 15 punti per quelle esposte a Internet. Il modello classico di disclosure responsabile — preavviso di 72-96 ore ai vendor, weekend di margine per il patching prima della pubblicazione — si è rivelato inadeguato a un ritmo dove la weaponization è istantanea.
Le percentuali di esposizione, tuttavia, presentano un limite interpretativo: il dossier non chiarisce se i dati 60%/25% e 50%/10% si riferiscano al dataset clienti di Wiz o a stime globali sull'installato WordPress. La formulazione "the 60% of WordPress organizations" nel testo di Wiz suggerisce probabile riferimento al proprio dataset, ma non esclude proiezioni più ampie.
Perché è importante
Il dossier non specifica misure correttive oltre le due indicate da Wiz Research: bloccare l'endpoint /wp-json/batch/v1 a livello WAF, o disabilitare l'accesso anonimo alle REST API. Il brief non documenta ulteriori azioni operative, né dettaglia se queste mitigazioni temporanee siano applicabili a tutte le architetture o presentino effetti collaterali su funzionalità legittime. La fonte non indica procedure di verifica specifiche per le backdoor già installate, né metodi di rimozione automatizzata delle webshell osservate.
Non è confermato se l'exploitation sia iniziata prima della pubblicazione del 17 luglio 2026. Wiz utilizza la formulazione "almost immediately following the vulnerability chain's publication", che lascia aperta la possibilità teorica di exploitation zero-day pre-disclosure, ma non la documenta come fatto. L'identità degli attori di minaccia non è determinata: il dossier non distingue tra nation-state, criminali organizzati o operatori opportunistici, e la sovrapposizione tra scanning di massa e deployment mirato suggerisce pluralità di attori con diverso livello di sofisticazione.
Il caso wp2shell costituisce il primo documentato di vulnerabilità zero-day critica scoperta tramite AI generativa e sfruttata massivamente in the wild entro 24 ore, con risposta vendor che include forced auto-update. Per il settore security, il dato rilevante non è il tool di scoperta ma l'obsolescenza strutturale dei tempi di reazione: il patching d'emergenza e il controllo delle superfici di attacco devono ora competere con un ciclo che misura l'intervallo discovery-exploitation in ore, non in giorni.
"Multiple actors successfully exploiting this vulnerability chain against WordPress instances self-hosted in the cloud" — Wiz Research, 17 luglio 2026
FAQ
Quali versioni di WordPress sono effettivamente a rischio?
Secondo Wiz Research e l'advisory WordPress.org, le versioni affette sono 6.8.0-6.8.5, 6.9.0-6.9.4, e 7.0.0-7.0.1. Il fix è disponibile in 6.8.6, 6.9.5 e 7.0.2. Le versioni precedenti al branch 6.8 non sono interessate dalla catena wp2shell.
Cosa indicano gli IoC per la rilevazione?
Wiz Research ha identificato indicatori ad alta fedeltà: risposte HTTP 207/200 Multi-Status a richieste verso l'endpoint batch, e user agent contenenti le stringhe "wp2shell" e "rezwp2shell". La fonte non specifica se questi pattern siano sufficienti a discriminare attività malevola da testing legittimo.
La webshell CMSmap è collegata al repository legittimo?
Il dossier non conferma un collegamento. Il repository GitHub di CMSmap (Fonte 3) è uno scanner Python legittimo; il nome è stato probabilmente usato come typosquatting o mascheramento per la webshell malevola, ma questa ricostruzione non è verificata nel brief.
Fonti
- https://www.wiz.io/blog/wp2shell-cve-2026-63030-cve-2026-60137
- https://slcyber.io/research-center/exploit-brokers-pay-500000-for-a-wordpress-rce-i-found-one-with-gpt5-6/
- https://github.com/dionach/CMSmap
- https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.