wp2shell: חולשה בליבת WordPress מאפשרת להריץ קוד בלי הזדהות. עדכנו ל-7.0.2
ב-17 ביולי 2026 פרסמה WordPress.org את גרסה 7.0.2 נגד wp2shell, שרשרת חולשות שמאפשרת הרצת קוד בלי הזדהות. תוקפים כבר ניצלו אותה. מה לעדכן, מה לבדוק ואיך מחפשים פריצה.
TL;DR בקצרה
- ב-17 ביולי 2026 פרסמה WordPress.org את 7.0.2 (וגם 6.9.5 ו-6.8.6) עם תיקון לשתי חולשות שיוצרות הרצת קוד בלי הזדהות.
- השרשרת המלאה פוגעת ב-6.9.0 עד 6.9.4 וב-7.0.0 עד 7.0.1. בענף 6.8 קיימת רק הזרקת SQL.
- ב-20 ביולי פירסמו SANS ISC ו-Wiz ממצאים על ניצול בפועל: webshells, משתמשי מנהל חדשים ותוספים זדוניים.
- אי אפשר לעדכן מיד? חסמו את /wp-json/batch/v1 ב-WAF או גישה אנונימית ל-REST API, לפי Searchlight Cyber.
wp2shell היא שרשרת של שתי חולשות בליבת WordPress, שמאפשרת לתוקף אנונימי להריץ קוד באתר. היא עובדת בהתקנה רגילה, בלי תוספים. ב-17 ביולי 2026 פרסמה WordPress.org את גרסה 7.0.2. היא גם הפעילה עדכון אוטומטי כפוי לאתרים הפגיעים.
WordPress.org מדרגת אחת מהחולשות כקריטית והשנייה כחמורה. היא מייחסת את הדיווח על ניצול דרך ה-REST API ל-Adam Kues מ-Assetnote ומ-Searchlight Cyber. את הדיווח על הזרקת ה-SQL היא מייחסת לשלושה חוקרים: TF1T, dtro ו-haongo.
מה זה wp2shell ואילו גרסאות פגיעות
החולשה הראשונה היא בלבול בניתוב של נקודת הקצה batch ב-REST API. נקודה כזו מאפשרת לשלוח כמה בקשות בבת אחת. השנייה היא הזרקת SQL בפרמטר author__not_in של WP_Query. לפי Security Affairs הן CVE-2026-63030 ו-CVE-2026-60137.
הגרסאות הפגיעות לשרשרת המלאה הן 6.9.0 עד 6.9.4 ו-7.0.0 עד 7.0.1. בענף 6.8 קיימת רק הזרקת ה-SQL, ו-WordPress.org סגרה אותה ב-6.8.6. גרסאות מלפני 6.8 לא פגיעות. ענף 7.1 בבטא קיבל את התיקון בבטא 2.
Searchlight Cyber מציינת שמעל 500 מיליון אתרים משתמשים ב-WordPress. התוקף לא צריך חשבון ולא צריך תוסף פגיע. לכן היקף החשיפה הפוטנציאלי גדול.
מה קרה מאז: ניצול בפועל של wp2shell
Searchlight Cyber לא פירסמה בהתחלה פרטים טכניים, כדי לתת למנהלי אתרים זמן לעדכן. לפי Security Affairs, ב-19 ביולי כבר היו קודי הדגמה ציבוריים. ב-20 ביולי פירסמו SANS ISC ו-Wiz ממצאים על ניצול בפועל.
לפי SANS ISC, התקיפה מגיעה דרך ה-REST API, ולכן היא עובדת רק כשהוא חשוף. בקשה ראשונה בודקת בהזרקת SQL אם האתר פגיע. בקשה שנייה יוצרת webshell, סקריפט PHP, בתיקיית ה-cache. ה-webshell מוגן בסיסמה ומחזיר 404 מזויף למבקרים רגילים. בהמשך התוקף מוסיף משתמש מנהל למסד הנתונים.
Wiz מוסיפה שתוקפים מתקינים דלתות אחוריות דרך נקודת ההעלאה של תוספים. הם שולפים שמות של מנהלים, ומנסים לקרוא את wp-config כדי להשיג פרטי מסד נתונים. Wiz מצאה גם webshell בגודל כ-150KB שמתחזה לתוסף בשם CMSmap.
הנתונים של Wiz על לקוחותיה מראים תמונה של קצב התיקון. עם הפרסום, ל-60% מהארגונים שמשתמשים ב-WordPress היה מופע פגיע, ול-25% מהם מופע חשוף לאינטרנט. תוך 24 שעות המספרים ירדו ל-50% ול-10%.
לפי F5 Labs, בתוך ימים מהפרסום נוספו שתי החולשות לקטלוג KEV של CISA. הפוסט של F5 הופיע ב-8 באוגוסט, והיא לא מציינת תאריך מדויק להוספה.
מה זה אומר עבורכם
- עדכנו לגרסה בטוחה: בלוח הבקרה, תחת Updates, לחצו Update Now. היעד הוא 7.0.2, או 6.9.5 או 6.8.6 לפי הענף שלכם.
- אל תניחו שהעדכון הגיע: בדקו את מספר הגרסה בכל אתר. כללו גם אתרי בדיקה ואתרים ישנים.
- חפשו סימני פריצה: לפי SANS ISC, חפשו סקריפטי PHP לא מוכרים ב-wp-content/cache. בדקו גם מנהלים חדשים. לפי Wiz, בדקו גם תוספים לא מוכרים.
- אי אפשר לעדכן מיד? חסמו ב-WAF את /wp-json/batch/v1 ואת rest_route=/batch/v1, או חסמו גישה אנונימית ל-REST API. לפי Searchlight זה זמני ועלול לשבש פעולות לגיטימיות.
- אם האתר היה פגיע: SANS ISC ממליצה להניח שתוקפים כבר נכנסו אליו. החליפו סיסמאות מנהל, פרטי מסד נתונים ומפתחות ב-wp-config. בדקו משתמשים, תוספים וקבצים חשודים.
מה הלאה
Searchlight Cyber מפעילה בדיקה ציבורית באתר wp2shell.com. כדאי להשתמש בה על האתרים שלכם, אבל היא לא מחליפה בדיקת פריצה ידנית.
מקורות והרחבה
- WordPress 7.0.2 Security ReleaseWordPress.org
- wp2shell: Pre-Authentication RCE in WordPress CoreSearchlight Cyber
- Attackers Can Take Over WordPress Sites Using Newly Released wp2shell ExploitsSecurity Affairs
- WordPress Exploitation Underway (CVE-2026-63030)SANS ISC
- Exploitation in the Wild of wp2shellWiz
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
