CVE-2026-63030 e CVE-2026-60137: mitigando uma cadeia crítica de RCE não autenticada no WordPress

• Pesquisadores revelaram detalhes sobre uma série de vulnerabilidades críticas que afetam o WordPress Core. O problema, identificado como CVE-2026-63030 e CVE-2026-60137, representa um risco significativo para a infraestrutura web, devido ao grande número de implementações do WordPress expostas em todo o mundo.

• A cadeia de ataques começa com uma injeção de SQL não autenticada, acessível por meio da API REST Batch do WordPress, e pode evoluir para uma completa execução remota de código (RCE) em uma instalação padrão.

• Embora existam correções disponíveis na fonte original, muitos ambientes de produção ainda permanecem expostos e sem os devidos patches.

• Nossas proteções atuais contra injeção de SQL no mecanismo de segurança adaptativo já oferecem uma cobertura eficaz contra o ponto de entrada desse ataque. Além disso, implementamos uma nova regra rápida para identificar variantes específicas desta cadeia.

Existe uma vulnerabilidade de validação de entrada no endpoint de processamento em lote da API REST do WordPress. A API de lote foi desenvolvida para permitir que os clientes agrupem várias operações em uma única solicitação. Devido a uma falha na forma como o endpoint associa solicitações validadas aos seus manipuladores de execução, um invasor pode fazer com que uma solicitação seja validada em relação a uma rota, mas executada em outra.

Essa dessincronização permite que um invasor burle a validação de parâmetros, da qual a API REST do WordPress depende. Quando combinado com um parâmetro pós-listagem que não sanitiza entradas que não sejam arrays antes de chegar à camada do banco de dados, o resultado é uma injeção de SQL não autenticada. Como o endpoint em lote pode ser acessado sem a necessidade de credenciais ou interação do usuário, ele se torna altamente vulnerável a ataques maliciosos.

O ataque explora uma falha de alinhamento no manipulador do endpoint de processamento em lote para inserir um parâmetro não validado em uma consulta ao banco de dados.

• Injeção de SQL: ao enviar um corpo de solicitação especialmente manipulado para o endpoint de processamento em lote, um invasor pode inserir um valor controlado por ele em uma consulta sem a devida proteção, permitindo a extração de dados arbitrários do banco de dados antes mesmo da autenticação.

•  Escalonamento de privilégios para RCE: em vez de depender da quebra de credenciais criptografadas, o ataque utiliza a injeção de código combinada com o mecanismo de cache de objetos e o comportamento de pós-processamento do WordPress para manipular o estado armazenado, assumir um contexto administrativo e, finalmente, criar uma conta com privilégios elevados. A partir daí, um invasor pode instalar um plugin malicioso e executar códigos de forma arbitrária.

Como o ponto de entrada inicial é uma injeção SQL não autenticada, bloquear a tentativa de injeção interrompe toda a cadeia antes que a escalada de privilégios seja possível.

A cadeia de vulnerabilidades afeta as instalações do WordPress Core que expõem a API REST de lote na configuração padrão. Os administradores devem instalar a mais recente atualização de segurança do WordPress Core assim que ela estiver disponível e verificar se as atualizações automáticas em segundo plano estão ativadas.

Os clientes do Akamai App & API Protector já contam com a proteção do Adaptive Security Engine contra ataques de injeção SQL, que detecta e bloqueia a injeção que serve como base para essa cadeia de ataques. Isso significa que os clientes que possuem proteção contra injeção de SQL ativada já contam com uma proteção básica contra a essência dessa ameaça atualmente.

Para oferecer uma proteção específica e em camadas contra variantes exclusivas desta cadeia, implementamos uma nova regra rápida:

3000986 v1 — Ataque de execução remota de código não autenticada no WordPress via wp2shell detectada (CVE-2026-63030, CVE-2026-60137)

Uma nova regra foi implementada no Akamai App & API Protector para proteger nossos clientes contra essa ameaça do WordPress, complementando a proteção contra injeção de SQL já existente.

Embora as regras de um firewall de aplicações web (WAF) possam identificar e bloquear padrões de exploração conhecidos, a defesa mais eficaz é aplicar imediatamente as atualizações fornecidas pelo fornecedor. Diante da gravidade deste problema e do grande número de instalações do WordPress em todo o mundo, os administradores devem aplicar as atualizações imediatamente. 

O Akamai Security Intelligence Group continuará monitorando, notificando e criando mitigações quanto a ameaças como essas para nossos clientes e para a comunidade de segurança em geral. Para acompanhar as notícias mais recentes do Akamai Security Intelligence Group, confira nossa página inicial de pesquisa e siga nossos perfis nas redes sociais.