Достатньо надіслати лише один спеціально сформований HTTP-запит до вразливого сайту WordPress, щоб отримати над ним повний контроль. Дослідники вже зафіксували реальні спроби експлуатації нового експлойту wp2shell, а його повний ланцюжок атак був створений моделлю GPT-5.6 Sol менш ніж за 10 годин.
Фахівець із SANS Technology Institute Йоганнес Б. Ульріх опублікував аналіз шкідливого навантаження, яке вже використовують зловмисники. За його словами, атаки регулярно потрапляють на honeypot-системи, а повний приклад payload був наданий одним із читачів SANS Internet Storm Center.
Для компрометації сайту використовується ланцюжок із двох HTTP POST-запитів. Перший визначає, чи є сайт вразливим, а другий виконує основну атаку. Запити надсилаються на публічно доступну кінцеву точку WordPress REST API /?rest_route=/batch/v1, яка не потребує автентифікації.
При цьому зловмисники навіть не приховують, який експлойт використовують. Як User-Agent вони вказують cve-2026-63030/1.0, прямо посилаючись на один із CVE-ідентифікаторів, що входять до ланцюжка wp2shell.
Для обходу механізмів захисту експлойт застосовує кілька рівнів кодування. Частина тексту передається у шістнадцятковому вигляді, а окремі символи приховуються через escape-послідовності \x. Крім того, вкладені HTTP-запити експлуатують помилку маршрутизації WordPress, через що система виконує їх із неправильними дозволами.
Шкідливий SQL-запит прихований у параметрі author_exclude. Хоча WordPress очікує отримати в цьому полі лише числові ідентифікатори авторів, недостатня перевірка введених даних дозволяє вставити власний SQL-код.
«Експлойт використовує стандартні шаблони SQL-ін’єкцій. Він використовує запит UNION для виконання другої інструкції SELECT», зазначив Йоганнес Б. Ульріх у своїй публікації.
Під час першого запиту SQL-ін’єкція лише перевіряє, чи вразливий сайт. Якщо експлуатація можлива, у відповіді з’являється спеціальний маркер ||OK||. Після цього нападник надсилає другий POST-запит, який записує PHP-код безпосередньо на сервер.
У результаті створюється вебоболонка, що відкриває віддалений доступ до системи та дозволяє виконувати довільні команди. Зловмисники записують файл 94uh9ubh6e1x.php до каталогу /wp-content/cache/.
Цікаво, що вебоболонка не відкривається для випадкових користувачів. Якщо звернутися до файлу без правильного секретного параметра, сервер повертає звичайну помилку 404.
«Я називаю це “помилками джедая”… це не та сторінка, яку ви шукаєте», сказав Ульріх.
Після успішного проникнення нападники також створюють нового користувача WordPress із правами адміністратора, щоб зберегти доступ до сайту навіть після видалення вебоболонки.
Дослідник рекомендує адміністраторам перевірити каталог /wp-content/cache/ на наявність підозрілих PHP-файлів, а також уважно переглянути список нещодавно створених користувачів із правами адміністратора. Основним способом захисту залишається якнайшвидше встановлення останніх оновлень WordPress. Власники сайтів можуть перевірити, чи зачеплені їхні вебсайти і я в якому вони стані.
Окрему увагу привернула історія створення самого експлойту. За словами дослідника безпеки Адама Куеса із Searchlight Cyber, повний ланцюжок wp2shell був знайдений за допомогою GPT-5.6 Sol Ultra, яка використовується в ChatGPT.
Для роботи він використав підписку вартістю 200 доларів і витратив приблизно половину доступного тижневого ліміту токенів. За його оцінкою, загальна вартість пошуку експлойту склала близько 25 доларів, хоча подібний ланцюжок атак міг би коштувати сотні тисяч доларів на ринку брокерів експлойтів.
За словами Куеса, він не використовував жодних методів обходу обмежень моделі. Дослідник просто поставив GPT-5.6 завдання знайти критичну вразливість WordPress, яка дозволяє отримати віддалене виконання коду без автентифікації.
«WordPress є однією з найстійкіших цілей, і за останнє десятиліття в ньому практично не було критичних уразливостей, які дозволяли б отримати RCE без автентифікації», зазначив дослідник.
За його словами, повний експлойт був створений трохи більш ніж за 10 годин.
«Я не роблю гучних заяв, але можу з повною впевненістю сказати, що жоден дослідник безпеки не зміг би знайти та завершити цей ланцюжок експлойтів за 10 годин без штучного інтелекту», підсумував Куес.
