Risultati principali
I ricercatori hanno rivelato informazioni dettagliate su una catena di vulnerabilità critica che influisce su WordPress Core. Il problema, a cui sono stati assegnati i codici CVE-2026-63030 e CVE-2026-60137, rappresenta un rischio significativo per l'infrastruttura web, considerando il numero elevato di implementazioni WordPress esposte in tutto il mondo.
La catena inizia con un attacco SQL injection non autenticato, che viene sferrato tramite l'API REST Batch di WordPress e può passare ad un'esecuzione di codice remoto (RCE) completa su un'installazione predefinita.
Sebbene le patch siano disponibili preventivamente, un elevato numero di ambienti di produzione rimane esposto e senza patch.
Le attuali protezioni dagli attacchi SQL injection offerte dalla nostra soluzione Adaptive Security Engine forniscono già una difesa significativa del punto di accesso di questo attacco. Inoltre, abbiamo implementato una nuova regola rapida per acquisire specifiche varianti di questa catena.
Dettagli della vulnerabilità
È presente un punto debole per la verifica dell'input nell'endpoint batch dell'API REST in WordPress. L'API batch è progettata per consentire ai client di raggruppare più operazioni delle API in un'unica richiesta. A causa di un bug presente nel modo in cui l'endpoint allinea le richieste verificate con i relativi handler di esecuzione, un criminale potrebbe forzare la verifica di una richiesta in un percorso, ma l'esecuzione in un altro percorso.
Questa desincronizzazione consente a un criminale di bypassare l'integrità dei parametri su cui si basa l'API REST di WordPress. Se combinato con un parametro post-elenco che non riesce a verificare l'integrità dell'input non-array prima che raggiunga il livello del database, ne risulta un attacco SQL injection non autenticate. Poiché l'endpoint batch è raggiungibile senza credenziali e non richiede alcuna interazione da parte dell'utente, è altamente accessibile ai criminali.
Come funziona l'attacco contro WordPress
L'attacco viola la vulnerabilità di allineamento presente nell'handler dell'endpoint batch per inserire un parametro la cui integrità non è stata verificata in una query del database.
SQL injection: fornendo un corpo della richiesta appositamente creato all'endpoint batch, un criminale può instradare un valore compromesso in una query senza una sequenza di escape, riuscendo ad esfiltrare contenuti arbitrari del database prima dell'autenticazione.
Escalation dei privilegi all'RCE: invece di basarsi sulla violazione di credenziali sottoposte ad hash, l'attacco di tipo injection viene concatenato attraverso il comportamento di memorizzazione nella cache e post-elaborazione degli oggetti di WordPress per manipolare lo stato memorizzato, assumere un contesto amministrativo e, in definitiva, fornire un account con privilegi. Da qui, un criminale può installare un plug-in dannoso e raggiungere l'esecuzione arbitraria del codice.
Poiché l'accesso iniziale viene effettuato tramite un attacco SQL injection non autenticato, se si blocca questo tentativo di attacco, si interrompe l'intera catena prima della sua diffusione.
La catena di vulnerabilità interessa le installazioni di WordPress Core che espongono l'API batch REST in una configurazione predefinita. Agli amministratori di sistema si consiglia di applicare l'ultima patch di sicurezza di WordPress Core non appena disponibile e di verificare di aver attivato gli aggiornamenti automatici in background.
Mitigazione con Akamai App & API Protector
I clienti di Akamai App & API Protector già usufruiscono della protezione offerta da Adaptive Security Engine contro gli attacchi SQL injection, che rileva e blocca questo tipo di minacce da cui parte la catena di attacchi. Ciò significa che i clienti che hanno attivato la difesa dagli attacchi SQL injection dispongono di una protezione di base contro questa minaccia.
Per fornire una difesa mirata e approfondita per le varianti specifiche di questa catena, abbiamo implementato una nuova regola:
3000986 v1 - RCE non autenticata in WordPress tramite il rilevamento dell'attacco wp2shell (CVE-2026-63030, CVE-2026-60137)
Riepilogo
È stata implementata una nuova regola all'interno di Akamai App & API Protector per proteggere i nostri clienti dalla minaccia presente in WordPress, che si aggiunge alla protezione dagli attacchi SQL injection già in uso.
Sebbene le regole WAF (Web Application Firewall) riescano a identificare e bloccare schemi di exploit noti, la difesa più efficace consiste nell'applicare tempestivamente le patch fornite dal vendor. Considerando la gravità di questo problema e l'elevato numero di installazioni WordPress in tutto il mondo, agli amministratori di sistema si consiglia di applicare immediatamente gli aggiornamenti.
L'Akamai Security Intelligence Group continuerà a monitorare, segnalare e creare mitigazioni per minacce come queste per i clienti dell'azienda e per la più vasta comunità della sicurezza. Per aggiornamenti sulle ultime novità dell'Akamai Security Intelligence Group, puoi consultare la nostra pagina relativa ai lavori di ricerca e seguirci sui social media.
Tag
