WP2Shell es una vulnerabilidad que combina dos fallos del núcleo de WordPress para permitir la ejecución de código en el servidor mediante solicitudes no autenticadas. Esto permite a un atacante crear cuentas de administrador e instalar web shells basadas en plugins. Según el análisis de Seqrite, los fallos fueron revelados en julio de 2026 y, aunque se han identificado las versiones afectadas, no se ha detectado una explotación masiva en tiempo real.

WP2Shell combina dos fallos del núcleo de WordPress para pasar de una solicitud no autenticada a la ejecución de código en el servidor. Puede permitir que un atacante cree una cuenta de administrador e instale una web shell basada en un plugin.

El análisis de Seqrite del 16 de octubre enumera las versiones afectadas, pero no establece una explotación activa generalizada. El informe indica que los fallos fueron revelados en julio de 2026.

Esta cadena es importante porque elimina el paso del inicio de sesión. Un sitio público que ejecute una versión afectada podría estar expuesto antes de que el propietario detecte una cuenta o un plugin sospechoso.

Analistas de Seqrite identificaron y documentaron WP2Shell, combinando CVE-2026-63030 y CVE-2026-60137 en una ruta que va desde una solicitud pública de la API REST hasta la ejecución de código.

Su desglose técnico de WP2Shell explica la secuencia y los artefactos del host. CVE-2026-63030 afecta al controlador de lotes de la API REST en /wp-json/batch/v1, que procesa varias solicitudes de API en un solo envío.

Seqrite afirma que las solicitudes anidadas pueden confundir el manejo de rutas y acceder a funcionalidades que deberían requerir autenticación. Este fallo por sí solo no ejecuta código; proporciona el camino hacia la segunda debilidad.

CVE-2026-60137 es un fallo de inyección SQL en el endpoint de entradas. El parámetro público author_exclude se mapea a author__not_in en WP_Query.

Ataque WP2Shell

Según Seqrite, una entrada mal manejada puede afectar la consulta de la base de datos. Encadenado con el fallo de ruta, permite que una solicitud no autenticada llegue a la consulta vulnerable. La prueba de concepto establece entonces un punto de apoyo a nivel de administrador y la ejecución remota de código.

En términos sencillos, la inyección SQL permite que la entrada afecte a una consulta de la base de datos de una manera no prevista. Aquí, el primer fallo ayuda a que una solicitud no autenticada llegue a esa consulta vulnerable; el segundo suministra la debilidad de la base de datos.

El impacto de la cadena proviene de cómo trabajan juntos los dos problemas, no de que ninguno de los fallos sea descrito como una web shell directa por sí solo. Una vez que el código se ejecuta en el servidor, el atacante puede tener una forma de realizar más cambios más allá del panel de control de WordPress.

Los pasos demostrados son importantes para quienes defienden el sistema. La cadena puede crear una cuenta de administrador inesperada, preparar un archivo ZIP en las cargas, descomprimir archivos PHP y mover un directorio de plugins hacia wp-content/plugins.

El plugin actúa como una web shell, una interfaz para ejecutar comandos del servidor. Se han cubierto previamente otras vulnerabilidades de creación de cuentas de WordPress y la reciente vulnerabilidad Comment2Shell, donde diferentes fallos también conducen a riesgos de cuentas o shells.

Seqrite describe comprobaciones de escritura temporales bajo wp-content, seguidas de la preparación de archivos en wp-content/uploads/2026/10/ y la extracción bajo wp-content/upgrade/.

Archivo de muestra

El archivo de muestra es wp2shell_4e9b3641.zip; los archivos extraídos y las carpetas de plugins utilizan un patrón wp2shell_<hex>. El informe indica que httpd.exe puede realizar escrituras de archivos, tal como ocurre durante las operaciones normales de un plugin.

Ese nombre de proceso por sí solo no es prueba de un compromiso. Señales más útiles son los nombres de archivo de WP2Shell, nuevos archivos PHP y administradores inesperados. Un incidente de cadena de suministro de plugins envenenados de WordPress también implicó una web shell, pero utilizó un método de entrega diferente.

El informe enumera WordPress 6.9.0–6.9.4 y 7.0.0–7.0.1 como vulnerables a la cadena completa. Las versiones 6.8.0–6.8.5 están afectadas por CVE-2026-60137.

Indica que las versiones 6.8.6, 6.9.5 y 7.0.2 están corregidas. Actualiza a la versión corregida correspondiente o a una versión posterior compatible, y verifica que la actualización se haya completado.

Restringir el acceso no autenticado a funciones sensibles de la API REST puede reducir la exposición donde sea práctico, pero no sustituye al parcheo.

Después de actualizar, revisa las cuentas en busca de administradores desconocidos, inspecciona las carpetas de plugins y caché para buscar archivos PHP nuevos o modificados, y comprueba los logs para detectar solicitudes sospechosas al endpoint de lotes.

Busca archivos temp-write-test-*, archivos wp2shell_*.zip y carpetas de plugins wp2shell_<hex>. Si los encuentras, preserva la evidencia, desactiva los plugins sospechosos, restablece las credenciales afectadas e investiga la persistencia. Un número de versión parcheado por sí solo no prueba que un compromiso anterior haya sido eliminado.

Fuentes:
https://cybersecuritynews.com/wp2shell-attack/