مهاجمان می‌توانند با زنجیره‌سازی دو آسیب‌پذیری در هسته پلتفرم وردپرس (WordPress)، سایت‌های آسیب‌پذیر را بدون نیاز به سرقت رمز عبور، به تسخیر خود درآورند. این زنجیره که با نام WP2Shell شناخته می‌شود، برخلاف حملاتی که به افزونه‌های (Plugins) آسیب‌پذیر وابسته هستند، مستقیماً هسته اصلی وردپرس را هدف قرار می‌دهد.
جزئیات فنی زنجیره حمله
این حمله از ترکیب دو آسیب‌پذیری اصلی تشکیل شده است:
- CVE-2026-63030: این آسیب‌پذیری در کنترل‌کننده دسته‌ای REST API (از طریق مسیر
/wp-json/batch/v1) قرار دارد. مهاجمان با ارسال درخواست‌های تودرتو (Nested requests)، در حل مسیر (Route resolution) اختلال ایجاد کرده و می‌توانند به هندلرهایی دسترسی پیدا کنند که در حالت عادی نیازمند احراز هویت (Authentication) هستند. - CVE-2026-60137: پس از عبور از مرحله اول، مهاجم از یک آسیب‌پذیری تزریق کد (SQL Injection) در نقطه پایانی (Endpoint) پست‌ها استفاده می‌کند. پارامتر
author_excludeبه دلیل عدم پاکسازی (Sanitization) کافی، اجازه می‌دهد تا ورودی‌های مخرب، پرس‌وجوهای پایگاه داده را تغییر داده و منجر به اجرای کد از راه دور (RCE) شوند.
تحلیل‌های انجام شده توسط شرکت‌های امنیتی نشان می‌دهد که مهاجمان از طریق دستکاری وضعیت اپلیکیشن و استفاده از قابلیت‌های کشینگ (Object Caching)، می‌توانند بدون شکستن هش رمز عبور (Password hashes)، یک حساب کاربری با سطح دسترسی مدیر (Administrator) ایجاد کنند.
مشاهدات و شواهد حمله
گزارش‌ها حاکی از آن است که اکسپلویت‌های عمومی منتشر شده و حملات فعال در فضای واقعی مشاهده شده است. شرکت F5 Labs تلاش‌هایی را برای اکسپلویت این آسیب‌پذیری شناسایی کرده که شامل درخواست‌های دسته‌ای تودرتو و تزریق SQL مبتنی بر UNION بوده است. این الگو نشان‌دهنده حملات خودکار (Automated) است.
راهکارهای مقابله و شناسایی
نسخه‌های آسیب‌پذیر: وردپرس نسخه‌های 6.9.0 تا 6.9.4 و 7.0.0 تا 7.0.1 تحت تأثیر این زنجیره هستند. (نسخه 6.8.0 تا 6.8.5 تنها در برابر SQL Injection آسیب‌پذیر است اما زنجیره کامل RCE را ایجاد نمی‌کند).
اقدامات اصلاحی: مدیران سیستم باید فوراً وردپرس خود را به نسخه‌های 6.8.6، 6.9.5 یا 7.0.2 به‌روزرسانی کنند.
شاخص‌های شناسایی (IoCs):
- بررسی درخواست‌های POST به مسیرهای
/wp-json/batch/v1و مسیرهای جایگزین مشابه. - جستجوی فایل‌های موقتی با الگوی
temp-write-test-*در مسیرwp-content/. - مانیتورینگ پارامتر
author_excludeو وجود کلمات کلیدی SQL در درخواست‌های HTTP. - بررسی حساب‌های مدیر جدید، افزونه‌های مشکوک و تغییرات غیرمنتظره در فایل‌های PHP.
