Punti chiave
Un bug scoperto da un ricercatore (e da un’IA)
La vulnerabilità “wp2shell” nasce dall’indagine di Adam Kues, ricercatore di sicurezza presso Assetnote / Searchlight Cyber, che ha analizzato il core di WordPress usando il modello di intelligenza artificiale GPT‑5.6 “Sol Ultra”.
Nel corso di questa analisi, l’IA ha contribuito a individuare e concatenare due difetti distinti nel codice – una SQL injection e un errore di gestione delle rotte nella REST API – in un’unica catena di attacco capace di portare da un semplice input HTTP anonimo alla completa esecuzione di codice sul server.
Parallelamente, altri ricercatori – indicati con gli handle TF1T, dtro e haongo – hanno segnalato al team di sicurezza di WordPress la componente di SQL injection, poi catalogata come CVE‑2026‑60137.
La parte più critica, CVE‑2026‑63030, ovvero la “confusione” tra le rotte batch della REST API e i normali handler che consente di aggirare i controlli e arrivare alla Remote Code Execution, è invece attribuita direttamente ad Adam Kues e al suo lavoro con Searchlight Cyber.
Cronologia: dalla scoperta alla patch
Secondo la ricostruzione fornita da fonti tecniche e blog di sicurezza, la catena wp2shell è stata riportata al programma di bug bounty di WordPress (HackerOne) prima della metà di luglio 2026.
Il 17 luglio 2026 WordPress ha rilasciato d’urgenza la versione 7.0.2, un aggiornamento di sicurezza che corregge entrambe le vulnerabilità, con backport sulle versioni precedenti (6.9.5 e 6.8.6) e forzando gli update automatici per milioni di installazioni interessate.
Nei primi giorni dopo la patch, i dettagli tecnici completi della catena di exploit sono stati volutamente tenuti parzialmente riservati, per dare ai difensori il tempo di aggiornare i sistemi prima che il codice di attacco circolasse pubblicamente.
Già entro il 20–21 luglio, però, diversi CERT nazionali e siti specializzati hanno segnalato prove di sfruttamento reale della vulnerabilità, con exploit automatizzati che scandagliano la rete alla ricerca di siti WordPress non aggiornati.
Natura tecnica della vulnerabilità
Wp2shell è una catena di due bug nel core di WordPress, sfruttabile anche su installazioni “pulite”, senza alcun plugin di terze parti.
Il primo tassello è CVE‑2026‑60137, una SQL injection facilitata in una componente di query del core: permette a un attaccante non autenticato di manipolare il database inviando richieste appositamente costruite.
Il secondo tassello, CVE‑2026‑63030, riguarda l’endpoint batch della REST API: a causa di una gestione errata delle rotte, WordPress può validare una sub‑richiesta rispetto a un handler, ma poi eseguirla con un altro, di fatto bypassando la funzione di validazione e aprendo la strada all’esecuzione arbitraria di codice.
Concatenando questi due difetti in una sola richiesta HTTP, un attaccante anonimo può creare account amministratore nascosti, caricare plugin malevoli, installare web shell persistenti e trasformare il sito in una piattaforma per spam, phishing o ulteriore movimento laterale all’interno del server.
Le versioni impattate includono WordPress 6.8, l’intera serie 6.9 fino alla 6.9.4 e le release 7.0.0–7.0.1, oltre a una build beta di WordPress 7.1.
Le versioni 7.0.2, 6.9.5 e 6.8.6 vengono indicate come correttive, in quanto chiudono la finestra di attacco per entrambe le vulnerabilità, mentre le release precedenti alla 6.8 sono considerate non affette dalla catena wp2shell.
Quanti siti sono a rischio nel mondo
WordPress alimenta circa il 40% di tutti i siti presenti su Internet, secondo stime consolidate riportate da numerosi osservatori di sicurezza: questo significa centinaia di milioni di installazioni attive.
Proprio per questa ubiquità, una vulnerabilità nel core – e non in un singolo plugin – ha un impatto potenziale ben superiore, perché colpisce indiscriminatamente blog personali, siti di news, e‑commerce, portali istituzionali e progetti editoriali di ogni scala.
Le stime più prudenti indicano “oltre 400 milioni” di siti che hanno eseguito o eseguono una versione vulnerabile della serie 6.9.x o 7.0.x, anche se questo numero include installazioni già aggiornate dopo l’uscita della patch.
Un’analisi su un campione di 3.500 siti, condotta dal consulente di sicurezza Daniel Card, ha rilevato che meno del 15% risultava ancora vulnerabile nei giorni successivi al rilascio della 7.0.2: applicando questa percentuale al bacino complessivo, si arriva comunque a una stima di circa 90 milioni di siti ancora esposti.
Altre fonti qualitativamente simili parlano di “decine di milioni di siti in pericolo” e di “milioni di pagine web” su cui WordPress ha forzato l’aggiornamento per ridurre la superficie di attacco.
La cifra più ampia, spesso citata nei comunicati, è quella di “oltre 500 milioni di pagine” potenzialmente interessate, cioè l’intero universo di installazioni WordPress che, in teoria, potrebbero trovarsi su una versione vulnerabile se non aggiornate.
Un caso emblematico del nuovo rapporto fra AI e sicurezza
L’elemento che rende wp2shell particolarmente significativo sul piano giornalistico è il modo in cui è stato scoperto: non solo da un ricercatore umano, ma da una collaborazione stretta fra analista e sistema di intelligenza artificiale avanzato.
Adam Kues ha spiegato che GPT‑5.6 Sol Ultra ha impiegato poche ore per scrivere la catena di attacco completa – dalla SQL injection alla Remote Code Execution – mentre comprendere pienamente la logica generata ha richiesto al ricercatore molto più tempo.
Il caso wp2shell entra così nel dibattito più ampio su come l’IA generativa possa diventare uno strumento di potenziamento, non solo per gli sviluppatori e i difensori, ma anche, potenzialmente, per gli aggressori che cercano vulnerabilità ad alto impatto economico e operativo.
La stessa Searchlight Cyber ha pubblicato analisi in cui nota come exploit broker siano disposti a pagare centinaia di migliaia di dollari per una RCE nel core di WordPress, a conferma del valore strategico di bug come wp2shell nel mercato delle vulnerabilità.
