Wordpress kriittinen haavoittuvuus (wp2shell)

[Focus0]

WordPress julkaisi korjaukset kahteen haavoittuvuuteen, joiden ketjuttaminen (wp2shell) mahdollistaa etäkoodin suorittamisen haavoittuvissa WordPress-asennuksissa ilman tunnistautumista. Haavoittuvuuden hyväksikäyttöä on jo havaittu, joten haavoittuvuudelle alttiille palvelimille tulee korjauksen välittömän asentamisen lisäksi myös suorittaa tutkinta mahdollisen tapahtuneen tietomurron varalta.

Haavoittuvuuden yhteenveto​

Haavoittuvuus: 18/2026
CVE-tunnisteet: CVE-2026-63030, CVE-2026-60137
Vakavuus: 9.8 (CVSS 3.1 kriittinen)
Kohde: WordPress Core
Vaikutus: Mahdollistaa etäkoodin suorittamisen WordPress-asennuksissa ilman kirjautumista
Korjaustoimet: Suorita korjaustoimet valmistajan tiedotteen mukaisesti ja varaudu suorittamaan tietomurtotutkinta

CVE-2026-60137 koskee WordPress versioita:

• 6.8.0 - 6.8.5
• 6.9.0 - 6.9.4
• 7.0.0 - 7.0.1
  

CVE-2026-63030 koskee WordPress versioita:

• 6.9.0 - 6.9.4
• 7.0.0 - 7.0.1
  

Kyberturvallisuuskeskuksen julkaisema tiedote haavoittuvuuksista

Ongelman laajuus on todella suuri tällä hetkellä, tuhoja sekä saastuneista sivustoja on odotettavissa todella paljon.

Tilanne on myös laajasti jo noteerattu maailmanlaajuisesti, yksi artikkeli liittyen asiaan: WordPress wp2shell Exploitation Grows as Public Exploit Fuels Mass Scanning