Слышал про свежую движуху с WordPress? Там опять знатно полыхнуло, причём на этот раз в самом ядре, а не в каком-нибудь левом плагине. Цепочку назвали wp2shell, и по факту это два бага, которые вместе дают полный RCE без авторизации. Один — SQL-инъекция через параметр author__not_in в WP_Query, второй это путаница с маршрутами в REST API batch endpoint. По отдельности они не так страшны, но когда их склеивают, привет shell.

Суть в чём: любой анонимный чел может отправить POST-запрос на /wp-json/batch/v1, и если сайт не пропатчен, туда залетает PHP-файл. Причём пофиг на плагины и тему дефолтная установка WordPress тоже уязвима. Затронуты версии 6.9.0–6.9.4, 7.0.0–7.0.1, а также 6.8.x (там только SQL-инъекция без RCE). Фикс вышел в 6.9.5 и 7.0.2 ещё в июле, но, как обычно, куча народу забила на обновление.

Уже есть подтверждения, что это не просто теория. CISA добавила оба CVE в каталог известных эксплуатируемых уязвимостей (KEV) ещё в конце июля. По логам видны массовые сканы, а на скомпрометированных сайтах находили веб-шеллы в /wp-content/cache/ и левых админов в базе. По сути, сейчас это автопалилка для ботов: если у тебя старая версия и открыт REST API тебя сольют.

По защите: вариант номер один обновиться до 6.9.5 или 7.0.2. Если не можешь сразу, закрой батч-эндпоинт на уровне WAF или реверс-прокси: блокируй и /wp-json/batch/v1, и вариант через query string rest_route=/batch/v1, иначе толку ноль. Ну и проверь логи на POST-запросы к этому пути, если там уже кто-то наследил простая установка патча не уберёт чужой бэкдор.