WP2Shell: Lỗ hổng RCE nghiêm trọng đe dọa hàng trăm triệu website WordPress

Sự cố WP2Shell là một trong những lỗ hổng bảo mật nghiêm trọng nhất đối với hệ sinh thái WordPress trong năm 2026. Đây là chuỗi khai thác thực thi mã từ xa không cần xác thực (Pre-Authentication Remote Code Execution – Pre-Auth RCE) nằm trực tiếp trong mã nguồn cốt lõi (WordPress Core), ảnh hưởng tiềm tàng tới hàng trăm triệu website trên toàn cầu.

Dưới đây là bài tổng hợp chi tiết về sự cố WP2Shell, cơ chế hoạt động, các phiên bản bị ảnh hưởng và giải pháp xử lý.

BÁO CÁO CHI TIẾT VỀ SỰ CỐ BẢO MẬT WP2SHELL (CVE-2026-63030 & CVE-2026-60137)

1. Tổng quan sự cố

Tên lỗ hổng / Chuỗi khai thác: WP2Shell
Loại lỗ hổng: Pre-Authentication Remote Code Execution (RCE)
Thành phần bị ảnh hưởng: WordPress Core (Nền tảng cốt lõi, không liên quan tới theme hay plugin bên thứ ba)
Chuyên gia phát hiện: Adam Kues thuộc đơn vị nghiên cứu bảo mật Searchlight Cyber
Trang thông tin & Công cụ kiểm tra chính thức: https://wp2shell.com/
Ngày công bố bản vá khẩn cấp: Ngày 17 tháng 07 năm 2026

WP2Shell đặc biệt nguy hiểm vì không yêu cầu bất kỳ điều kiện tiên quyết nào (người dùng vô danh/chưa đăng nhập có thể khai thác trực tiếp trên một bản cài đặt WordPress mặc định, hoàn toàn không cần plugin hay cấu hình đặc biệt nào).

2. Cơ chế kỹ thuật & Chuỗi khai thác (Exploit Chain)

WP2Shell được hình thành từ sự kết hợp của 2 lỗ hổng độc lập trong WordPress Core:

[Kẻ tấn công Ẩn danh]
        │
        ▼
1. CVE-2026-63030 (REST API Batch Route Confusion: /wp-json/batch/v1)
        │  (Bỏ qua kiểm tra quyền truy cập)
        ▼
2. CVE-2026-60137 (SQL Injection trong WP_Query: author__not_in)
        │  (Thao tác dữ liệu & chiếm quyền / tạo Admin)
        ▼
[Thực thi mã từ xa (RCE) trên Máy chủ]

[Kẻ tấn công Ẩn danh]
        │
        ▼
1. CVE-2026-63030 (REST API Batch Route Confusion: /wp-json/batch/v1)
        │  (Bỏ qua kiểm tra quyền truy cập)
        ▼
2. CVE-2026-60137 (SQL Injection trong WP_Query: author__not_in)
        │  (Thao tác dữ liệu & chiếm quyền / tạo Admin)
        ▼
[Thực thi mã từ xa (RCE) trên Máy chủ]

Lỗi 1: CVE-2026-63030 – Nhầm lẫn định tuyến REST API Batch (Route Confusion)

Tính năng Batch API (/wp-json/batch/v1) cho phép đóng gói nhiều yêu cầu REST API trong một lượt gọi HTTP để tối ưu hiệu năng.
Trong hàm xử lý WP_REST_Server::serve_batch_request_v1(), hệ thống duy trì các mảng song song để theo dõi danh sách request, route khớp và kết quả xác thực. Khi có một request lỗi trong chuỗi, hệ thống gặp lỗi lệch mảng (array index misalignment).
Lỗi này làm sai lệch ngữ cảnh kiểm tra quyền, cho phép yêu cầu ẩn danh bỏ qua cơ chế xác thực và truy cập được vào các route nội bộ/bị hạn chế.

Lỗi 2: CVE-2026-60137 – SQL Injection trong lớp WP_Query

Xuất hiện tại tham số author__not_in của hàm dựng truy vấn WP_Query.
Khi tham số này nhận đầu vào dạng chuỗi đơn (scalar string) thay vì một mảng (array), hệ thống bỏ qua bước làm sạch dữ liệu (absint), dẫn đến lỗ hổng SQL Injection.

Kết hợp thành WP2Shell

Bằng cách gửi một HTTP Request chứa gói Batch API đặc biệt, kẻ tấn công dùng CVE-2026-63030 để qua mặt lớp xác thực, sau đó kích hoạt CVE-2026-60137 để can thiệp vào cơ sở dữ liệu (tạo tài khoản Administrator ẩn danh hoặc ghi file độc hại), từ đó chiếm quyền kiểm soát hoàn toàn máy chủ web (RCE).

3. Các phiên bản bị ảnh hưởng

WordPress đã xác nhận các nhánh phiên bản chịu tác động:

4. Giải pháp khắc phục & Giảm thiểu rủi ro (Mitigation)

Phương án tốt nhất: Cập nhật WordPress Core lập tức

WordPress đã bật cơ chế tự động cập nhật ngầm (forced auto-update) cho sự cố này. Tuy nhiên, quản trị viên cần truy cập Dashboard để kiểm tra trực tiếp và không nên chủ quan dựa hoàn toàn vào tự động hóa.

Cập nhật lên WordPress 7.0.2 (hoặc 6.9.5 / 6.8.6 tùy nhánh đang sử dụng).
Nếu dùng WP-CLI, chạy lệnh: wp core update && wp core version

Các biện pháp tạm thời (Khi chưa thể cập nhật ngay)

1. Chặn endpoint REST Batch trên WAF hoặc Nginx / Apache

Cần chặn cả đường dẫn URL lẫn Query Parameter (vì WordPress hỗ trợ cả hai kiểu đường dẫn):

Path: /wp-json/batch/v1
Query string: rest_route=/batch/v1

(Lưu ý: Phải chặn cả 2 dạng đường dẫn vì nếu chỉ chặn Path, kẻ tấn công vẫn có thể truy cập qua Query Parameter ?rest_route=).

Apache (.htaccess)

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/wp-json/batch/v1/?$ [NC,OR]
RewriteCond %{QUERY_STRING} (^|&)rest_route=/batch/v1(&|$) [NC]
RewriteRule ^ - [F,L]

RewriteEngine On
RewriteCond %{REQUEST_URI} ^/wp-json/batch/v1/?$ [NC,OR]
RewriteCond %{QUERY_STRING} (^|&)rest_route=/batch/v1(&|$) [NC]
RewriteRule ^ - [F,L]

Nginx

location ~ ^/wp-json/batch/v1 {
    return 403;
}
if ($args ~* "(^|&)rest_route=/batch/v1") {
    return 403;
}

location ~ ^/wp-json/batch/v1 {
    return 403;
}
if ($args ~* "(^|&)rest_route=/batch/v1") {
    return 403;
}

ModSecurity Rules

SecRule REQUEST_URI "@rx (?i)(/wp-json/batch/v1|rest_route=/batch/v1)" \
    "id:1000101,phase:1,t:none,t:urlDecodeUni,deny,status:403,log,\
    msg:'Blocked WP REST batch endpoint attack'"

SecRule REQUEST_URI "@rx (?i)(/wp-json/batch/v1|rest_route=/batch/v1)" \
    "id:1000101,phase:1,t:none,t:urlDecodeUni,deny,status:403,log,\
    msg:'Blocked WP REST batch endpoint attack'"

Cloudflare (WAF Custom Rule)

(http.request.uri.path eq "/wp-json/batch/v1") or (http.request.uri.query contains "rest_route=/batch/v1")

(http.request.uri.path eq "/wp-json/batch/v1") or (http.request.uri.query contains "rest_route=/batch/v1")

2. Dùng Plugin chặn truy cập ẩn danh (Do tác giả công bố tại wp2shell.com)

Tạo tệp plugin tạm thời tại đường dẫn wp-content/plugins/disable-batch-api-for-unauth.php với nội dung:

<?php
/**
 * Plugin Name: Disable Unauthenticated REST Batch API
 * Description: Requires an authenticated WordPress user for REST batch requests.
 * Version: 1.0.0
 * License: GPL-2.0-or-later
 */
defined( 'ABSPATH' ) || exit;

function wporg_require_authentication_for_rest_batch( $result, $server, $request ) {
    if ( '/batch/v1' !== strtolower( untrailingslashit( $request->get_route() ) ) || is_user_logged_in() ) {
        return $result;
    }
    return new WP_Error( 'rest_batch_authentication_required', 'Authentication is required to use the batch API.', array( 'status' => 401 ) );
}
add_filter( 'rest_pre_dispatch', 'wporg_require_authentication_for_rest_batch', -1000, 3 );

<?php
/**
 * Plugin Name: Disable Unauthenticated REST Batch API
 * Description: Requires an authenticated WordPress user for REST batch requests.
 * Version: 1.0.0
 * License: GPL-2.0-or-later
 */
defined( 'ABSPATH' ) || exit;

function wporg_require_authentication_for_rest_batch( $result, $server, $request ) {
    if ( '/batch/v1' !== strtolower( untrailingslashit( $request->get_route() ) ) || is_user_logged_in() ) {
        return $result;
    }
    return new WP_Error( 'rest_batch_authentication_required', 'Authentication is required to use the batch API.', array( 'status' => 401 ) );
}
add_filter( 'rest_pre_dispatch', 'wporg_require_authentication_for_rest_batch', -1000, 3 );

Lưu ý: Các biện pháp tạm thời trên có thể ảnh hưởng nhẹ tới một số tính năng/plugin có sử dụng Batch REST API.

5. Dấu hiệu nhận biết website đã bị can thiệp (IoCs)

Nếu website từng ở phiên bản bị ảnh hưởng trong thời gian diễn ra sự cố, cần rà soát các dấu hiệu sau:

Tài khoản lạ: Bật danh sách người dùng trong WP-Admin và kiểm tra xem có tài khoản Admin mới được tạo bất thường hay không.
File lạ trong cây thư mục: Kiểm tra các thư mục ghi được như wp-content/uploads/, wp-content/plugins/ xem có các file .php lạ hoặc webshell mới xuất hiện.
Sửa đổi mã nguồn: Kiểm tra lịch sử chỉnh sửa các file cốt lõi như index.php, wp-config.php, functions.php.
Log truy vấn Web Server: Kiểm tra log truy cập xem có các yêu cầu HTTP POST tới /wp-json/batch/v1 hoặc ?rest_route=/batch/v1 đi kèm mã phản hồi bất thường.

Một số thông tin khác từ các trang chính thống:

5/5 - (1 vote)