Publicat pe 13 august 2026 · Echipa mitza.es
La mijlocul lunii iulie 2026 a fost făcut public un lanț de vulnerabilități critice în nucleul WordPress, numit wp2shell. INCIBE, institutul spaniol de securitate cibernetică, a emis o alertă urgentă luni, 20 iulie, la ora 11:50, iar la doar câteva ore după publicarea patch-urilor au fost deja detectate încercări de exploatare activă, ceva obișnuit atunci când o vulnerabilitate de acest nivel devine publică.
Ce face ca această vulnerabilitate să fie deosebit de gravă
Lanțul combină două defecte identificate ca CVE-2026-63030 și CVE-2026-60137, prezente în ramurile 6.9.x și 7.0.x ale nucleului WordPress. Ceea ce o face mai periculoasă decât o vulnerabilitate obișnuită de plugin este că nu depinde de niciun plugin sau temă suplimentară: un atacator la distanță poate executa cod pe server fără să aibă nevoie să se autentifice, combinând cele două defecte direct împotriva nucleului CMS-ului.
Ce versiuni sunt afectate
- WordPress 6.9.0 până la 6.9.4: afectate de lanțul complet.
- WordPress 7.0.0 până la 7.0.1: afectate de lanțul complet.
- WordPress 6.8: vulnerabil doar la partea de injectare SQL, nu la lanțul complet de execuție de cod la distanță.
Cum te protejezi chiar acum
Recomandarea INCIBE și a comunității WordPress este să actualizezi imediat la versiunile 6.9.5, 6.8.6 sau 7.1 beta2, în funcție de ramura pe care o folosești. Ca măsură temporară până la aplicarea actualizării, se recomandă restricționarea accesului anonim la API-ul REST al site-ului, unul dintre punctele pe care lanțul îl exploatează pentru a funcționa fără autentificare.
De ce readuce în discuție mentenanța de bază
WordPress stă la baza unei părți foarte importante din site-urile IMM-urilor și liber-profesioniștilor din Spania, iar acest tip de vulnerabilitate reamintește de ce mentenanța nu este o cheltuială opțională. Un site neactualizat timp de săptămâni este, literalmente, o ușă deschisă. Aceasta se leagă direct de creșterea atacurilor ransomware pe care le-am văzut anul acesta în Spania: multe atacuri încep exact printr-un CMS neactualizat. Dacă nu știi sigur pe ce versiune este site-ul tău sau cine se ocupă să îl mențină la zi, serviciul nostru de mentenanță IT include această verificare, iar dacă te gândești să renunți la o instalare WordPress problematică, putem propune și o dezvoltare personalizată mai bine controlată.
Dacă preferi să nu te ocupi tu de actualizări, serviciul nostru de mentenanță website se ocupă de ele, cu copii de siguranță și monitorizare. Ce include un plan și cât costă pe piață explicăm în acest ghid.
Vezi și: WordPress 7.1.4 și CVE-2026-119977 și ce faci dacă site-ul tău WordPress este hackuit.