Searchlight Cyber ha reso pubblica wp2shell, una vulnerabilità di esecuzione remota di codice pre-autenticazione che colpisce il core di WordPress senza richiedere plugin aggiuntivi. La rivelazione arriva con patch già disponibili — versioni 7.0.2 e 6.9.5 — ma senza un identificatore CVE assegnato e senza advisory strutturata da WordPress.org. Questa disclosure si basa esclusivamente su Searchlight Cyber; non sono disponibili verifiche indipendenti né conferme da WordPress.org.
La scoperta, attribuita al ricercatore Adam Kues di Searchlight Cyber, include un riferimento all'uso di GPT-5 nel processo di individuazione della falla. Le fonti disponibili non specificano il ruolo effettivo del modello nella catena di scoperta.
- La vulnerabilità wp2shell consente RCE pre-autenticazione su installazioni WordPress stock, senza plugin né configurazioni particolari
- Il vettore di attacco è l'endpoint REST Batch API, raggiungibile via
/wp-json/batch/v1e?rest_route=/batch/v1 - WordPress ha rilasciato le patch 7.0.2 e 6.9.5 senza pubblicare CVE o advisory dettagliata dal vendor
- Searchlight Cyber stima che oltre 500 milioni di siti WordPress siano potenzialmente interessati dalla falla
- Technical details non rilasciati per coordinated disclosure; la fonte non specifica quando saranno pubblicati
Il meccanismo d'attacco: come funziona wp2shell
Searchlight Cyber ha identificato il vettore d'ingresso nell'endpoint REST Batch API di WordPress, un'interfaccia progettata per raggruppare multiple richieste API in un'unica chiamata. Secondo l'advisory del ricercatore, l'attacco "non ha precondizioni e può essere sfruttato da un utente anonimo in un'installazione stock di WordPress senza plugin".
La batch API è accessibile attraverso due pattern URI: /wp-json/batch/v1 e, in configurazioni con permalink riscritti disattivati, ?rest_route=/batch/v1. Le fonti disponibili non specificano se entrambi i pattern siano necessariamente entrambi esposti in tutte le configurazioni.
Il ricercatore non ha reso pubblici i dettagli tecnici completi del meccanismo di exploit. La motivazione dichiarata è la coordinated disclosure: "Data la gravità della falla e per dare ai difensori tempo di applicare le patch, non rilasciamo i dettagli tecnici in questo momento". Le fonti disponibili non documentano se WordPress.org abbia pubblicato o programmato un rilascio completo dei technical details.
"The attack has no preconditions and can be exploited by an anonymous user in a stock install of WordPress with no plugins" — Searchlight Cyber advisory
La disclosure con limiti: patch senza CVE né advisory dal vendor
Il rilascio delle versioni 7.0.2 e 6.9.5 è avvenuto senza pubblicazione di CVE da parte di un CNA riconosciuto e senza advisory strutturata da WordPress.org. Searchlight Cyber definisce il proprio approccio "coordinated disclosure".
L'assenza di un identificatore CVE ha conseguenze operative. Gli strumenti di vulnerability management dipendono da identificatori standardizzati per correlare scansioni, ticket e report. Senza CVE, la patch di WordPress 7.0.2 può non essere riconosciuta automaticamente come correzione di sicurezza critica. Non è disponibile alcuna informazione su eventuale assegnazione CVE futura.
Paralleamente, la mancanza di un punteggio CVSS impedisce la classificazione quantitativa della gravità. Searchlight Cyber qualifica la falla come di "alta gravità", ma senza metriche standardizzate questa valutazione non è confrontabile con altre vulnerabilità. Le fonti disponibili non riportano alcun punteggio CVSS.
GPT-5 nella catena di scoperta: un riferimento non documentato
Il sito wp2shell.com, gestito dallo stesso ricercatore, include il riferimento: "Read how the bug was found with GPT-5". Le fonti disponibili non specificano il ruolo effettivo di GPT-5 — se strumentale nella generazione di ipotesi, nell'analisi del codice, o nella sintesi post-scoperta — né forniscono dettagli sulla pipeline di verifica umana.
Adam Kues di Searchlight Cyber è documentato come autore della scoperta e della documentazione. Il riferimento a GPT-5 potrebbe riflettere metodologia reale, elemento di posizionamento commerciale, o entrambi; le fonti disponibili non consentono di determinare quale delle tre ipotesi sia corretta.
Cosa fare adesso
Le azioni prioritarie derivano dalle fonti primarie analizzate:
- Aggiornare a WordPress 7.0.2 o 6.9.5: Searchlight Cyber indica queste versioni come corrette per i rispettivi branch. L'aggiornamento è l'unica mitigazione definitiva documentata dalla fonte.
- Bloccare l'accesso anonimo alla REST Batch API: In attesa dell'aggiornamento, Searchlight Cyber suggerisce di filtrare le richieste a
/wp-json/batch/v1e?rest_route=/batch/v1a livello di WAF o plugin. Il codice di mitigazione proposto intercetta il filtrorest_pre_dispatchper bloccare l'endpoint/batch/v1per utenti non autenticati. - Verificare la propria esposizione: Il sito wp2shell.com offre uno strumento di check che indica se un'installazione WordPress specifica risulta vulnerabile. Il codice del tool non è verificato indipendentemente.
La natura auto-promozionale della disclosure e l'assenza di verifica indipendente impongono cautela nella valutazione del rischio. Gli amministratori devono bilanciare la gravità potenziale di una RCE pre-auth nel core — con oltre 500 milioni di siti stimati interessati — con i limiti informativi della singola fonte primaria strutturata disponibile.
Limiti della fonte e contesto
Questa analisi si basa esclusivamente su Searchlight Cyber (slcyber.io) e sul suo strumento correlato wp2shell.com. Entrambi sono prodotti della stessa entità. Non sono disponibili: conferme da WordPress.org, verifica indipendente del claim RCE, dettagli tecnici del meccanismo di exploit, CVE assegnato, punteggio CVSS, o informazioni su eventuale sfruttamento in-the-wild.
La disclosure coordinated — con patch rilasciate ma technical details trattenuti — è una pratica legittima ma che, in assenza di advisory dal vendor, lascia i difensori con un'asimmetria informativa rispetto agli attaccanti che dispongono del codice patchato. Le fonti disponibili non documentano se questa asimmetria sia stata affrontata da WordPress.org con comunicazioni interne ai CNA o altre iniziative.
Le informazioni sono aggiornate al momento della pubblicazione. La mancanza di fonti indipendenti e la natura auto-promozionale del vendor costituiscono il principale limite di questa analisi.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core
- https://wp2shell.com/
- https://www.cookiebot.com/
- https://slcyber.io/law-enforcement/
- https://slcyber.io/partner-program/
- https://slcyber.io/dark-web-risk-report-find-out-your-dark-web-exposure/
- https://slcyber.io/products/