Khai thác wp2shell trên WordPress gia tăng nhờ mã công khai và quét diện rộng
"Attackers are actively exploiting two critical WordPress vulnerabilities, CVE-2026-63030 and CVE-2026-60137, chained together as wp2shell to achieve unauthenticated remote code execution and full site compromise. The activity includes mass scanning, credential theft, malicious plugin uploads, backdoor admin creation, and web shell deployment; fixes are available and defenders are urged to patch and inspect for persistence artifacts."
Nguy cơ cao do chuỗi wp2shell cho phép RCE không cần xác thực và dẫn tới chiếm quyền hoàn chỉnh. Các điểm then chốt gồm: CVE-2026-63030 (điều kiện liên quan persistent object cache), CVE-2026-60137 (điểm vào qua REST API batch), và khả năng triển khai web shell sau khai thác.
Tác động đáng kể tới vận hành vì có thể dẫn đến chiếm quyền website, thay đổi nội dung/plugin, và phát tán công cụ thứ cấp. Ngoài ra, việc bị quét diện rộng và tạo backdoor admin accounts có thể làm tăng chi phí điều tra, khôi phục và rủi ro gián đoạn dịch vụ.
Các tác nhân đe doạ đang khai thác chuỗi lỗ hổng trong WordPress được gộp chung dưới tên wp2shell, nhằm đạt remote code execution (RCE) từ xa không cần xác thực và chiếm quyền toàn bộ website. Chuỗi này liên quan đến CVE-2026-63030 và CVE-2026-60137.
Theo các báo cáo quan sát, kẻ tấn công có thể bắt đầu tấn công trên cài đặt WordPress “mặc định” mà không cần plugin bổ sung, đồng thời sử dụng mã khai thác công khai để thu thập credential băm trước khi RCE được kích hoạt khi thông tin chi tiết được công bố. Dữ liệu KEVIntel ghi nhận 13 địa chỉ IP từ nhiều quốc gia đã liên quan đến việc khai thác CVE-2026-63030.
Sau khai thác, các hoạt động hậu xâm nhập được ghi nhận gồm: tải plugin độc hại, liệt kê người dùng và thu admin username/email, thực hiện LFI để nhắm tới thông tin xác thực, đăng nhập vào admin panel, và triển khai web shell PHP. Ngoài ra, có trường hợp web shell khoảng 150 KB được ngụy trang như plugin bảo mật CMSmap.
Khuyến nghị: cập nhật bản vá cho WordPress, đồng thời kiểm tra tài khoản admin mới, plugin lạ/tệp khả nghi và dấu hiệu persistence ngay cả khi hệ thống đã được vá.