Впервые за десять лет в WordPress обнаружена уязвимость, позволяющая удалённо выполнить код без установки сторонних плагинов. Проблема, получившая название wp2shell, затрагивает ядро CMS и не требует никаких дополнительных условий на стороне атакующего. По данным источника, это первый подобный случай за последнее десятилетие.

Уязвимость даёт возможность прямого взлома через стандартный функционал движка, который есть на любом сайте с WordPress. Ранее большинство громких инцидентов с RCE было связано именно с плагинами и темами, а не с ядром. Теперь же вектор атаки не зависит от того, какой набор расширений использует владелец.

Команда разработчиков WordPress уже выпустила патчи, закрывающие брешь. Владельцам сайтов рекомендуют как можно быстрее обновиться до актуальной версии. Хакерское сообщество, в свою очередь, активно изучает механику wp2shell в поисках новых способов эксплуатации.

Масштаб потенциального ущерба оценивается как очень высокий, поскольку WordPress работает на десятках миллионов сайтов по всему миру. Даже после выхода исправлений значительная часть ресурсов останется уязвимой из-за задержек с обновлением. Особенно это касается заброшенных и редко обслуживаемых проектов.

Ожидается волна сканирований и автоматических атак на непропатченные установки в ближайшие недели. Реакция сообщества уже включает публикацию технических разборов и PoC-эксплойтов. Владельцам сайтов стоит не только обновиться, но и проверить логи на предмет подозрительной активности.