بر اساس تحلیل‌های پژوهشگران Seqrite، دو آسیب‌پذیری در هسته (Core) وردپرس می‌توانند به صورت زنجیره‌ای (Chain) برای اجرای کد از راه دور (RCE) بدون نیاز به احراز هویت مورد استفاده قرار گیرند.
تحلیل زنجیره اکسپلویت WP2Shell
این زنجیره اکسپلویت که WP2Shell نامیده شده است، ترکیبی از Route Confusion در REST API و تزریق SQL (SQL Injection) است. این روش به عامل تهدید اجازه می‌دهد تا از نقاط انتهایی (Endpoints) عمومی، بدون داشتن اعتبارنامه‌های معتبر، به کنترل کامل سرور دست یابد.
این نقص امنیتی بر نسخه‌های 6.9.0 تا 6.9.4 و 7.0.0 تا 7.0.1 وردپرس تأثیر می‌گذارد. اهمیت این موضوع در این است که مهاجم می‌تواند مرحله اولیه نفوذ (به دست آوردن حساب کاربری) را دور زده و مستقیماً از طریق وب‌سایت در معرض دسترس، عملیات تخریبی را آغاز کند.
جزئیات فنی آسیب‌پذیری‌ها
اولین حلقه این زنجیره، آسیب‌پذیری CVE-2026-63030 است که Batch Controller در REST API را تحت تأثیر قرار می‌دهد (مسیر /wp-json/batch/v1). این قابلیت، چندین درخواست API را در قالب یک Payload JSON پردازش می‌کند. ساختارهای تو در تو (Nested) در این بخش باعث اختلال در شناسایی مسیر (Route Resolution) شده و درخواست‌ها را به هندلرهای ناخواسته ارسال می‌کند که در حالت عادی نیاز به احراز هویت دارند.
در مرحله دوم، آسیب‌پذیری CVE-2026-60137 مورد استفاده قرار می‌گیرد که یک نقص SQL Injection در Endpoint مربوط به پست‌هاست. پارامتر author_exclude به دلیل عدم اعتبارسنجی مناسب ورودی‌ها، به مهاجم اجازه می‌دهد تا کوئری‌های دیتابیس را دستکاری کند.
مسیر حمله و اثرات
ترکیب این دو نقطه ضعف منجر به مراحل زیر می‌شود:
- ایجاد یک حساب کاربری با سطح دسترسی مدیر (Administrator) از طریق رابط Batch.
- نصب یک افزونه (Plugin) مخرب حاوی وب‌شل (Web Shell).
- اجرای دستورات دلخواه روی سرور.
در بررسی‌های فارنزیک، مشاهده شده است که مهاجمان ابتدا فایل‌های موقتی با الگوی temp-write-test-* در مسیر wp-content/ ایجاد می‌کنند تا قابلیت نوشتن در دایرکتوری را بررسی کنند. سپس یک آرشیو ZIP (مانند wp2shell_4e9b3641.zip) در مسیر آپلودها قرار داده شده و در نهایت Payloadهای PHP در پوشه plugins/ استقرار می‌یابند.
توصیه‌های امنیتی و رفع مشکل
مدیران سیستم و تیم‌های SOC باید اقدامات زیر را در اولویت قرار دهند:
- به‌روزرسانی فوری: ارتقاء وردپرس به نسخه‌های اصلاح‌شده 6.8.6، 6.9.5 یا 7.0.2.
- بررسی حساب‌ها: بازبینی لیست حساب‌های مدیر برای شناسایی هرگونه کاربر غیرمجاز.
- پایش فایل‌ها: جست‌وجو برای فایل‌های مشکوک PHP و پوشه‌های غیرعادی در دایرکتوری
wp-content/plugins/. - محدودسازی دسترسی: در صورت امکان، دسترسی‌های بدون احراز هویت به قابلیت‌های حساس REST API را محدود کنید.
با توجه به اینکه وب‌شل‌های نصب شده پس از به‌روزرسانی نیز باقی می‌مانند، انجام ارزیابی نفوذ و بررسی کامل سیستم (Compromise Assessment) پس از پچ کردن ضروری است.
