Egzploitų brokeriai už WordPress RCE moka 500 000 USD — tyrėjas jį rado su GPT-5.6 už 25 USD

Liepos 20 d. „Searchlight Cyber“ tyrėjas Adamas Kuesas paskelbė tekstą, kurio pavadinimas skamba kaip provokacija: „Egzploitų brokeriai už WordPress RCE moka 500 000 dolerių. Aš tokį radau su GPT-5.6 „Sol Ultra“ ir 25 doleriais.“ Ir tai ne rinkodara — už šitų žodžių slypi reali, jau pataisyta, bet vis dar masiškai išnaudojama branduolio spraga, paliečianti daugiau nei 500 milijonų svetainių.

Kas nutiko

Kuesas ant nuotolinio serverio įsidiegė standartinę, „iš dėžės“ WordPress instaliaciją ir davė kalbos modeliui vieną paprastą užduotį — pavogti administratoriaus el. pašto adresą. Modelis jį atspausdino per kelias minutes. Tada tyrėjas paklausė sudėtingesnio dalyko: ar tą pačią skaitomąją SQL injekciją galima paversti nuotoliniu kodo vykdymu (RCE). Maždaug po keturių valandų samprotavimo modelis atsakė teigiamai ir pateikė veikiančią grandinę: injekciją patikimai galima eskaluoti iki administratoriaus teisių net nelaužant jokių slaptažodžių.

Iš viso darbas užtruko kiek daugiau nei 10 valandų, o žetonų sąnaudos siekė apie 25 dolerius — maždaug pusę savaitinės 200 USD prenumeratos. Paties tyrėjo vertinimu, „nė vienas saugumo tyrėjas nebūtų radęs ir užbaigęs šios egzploito grandinės per 10 valandų be dirbtinio intelekto“.

„wp2shell“: dvi spragos, viena grandinė

Spraga vadinama „wp2shell“ ir susideda iš dviejų sujungtų klaidų:

• CVE-2026-60137 — SQL injekcija author__not_in parametre, kurį apdoroja WP_Query, t. y. branduolio klasė, formuojanti bene kiekvieną WordPress užklausą duomenų bazei. Ji viena savaime leidžia skaityti duomenis.
• CVE-2026-63030 — REST API „batch“ maršruto sumaištis, atsiradusi nuo 6.9 versijos. Būtent ši dalis apribotą injekciją paverčia neautentifikuotu nuotoliniu kodo vykdymu.

Kitaip tariant, senesnėse versijose įsilaužėlis gautų tik „skaitymo langą“ į bazę, o nuo 6.9 — pilną serverio kontrolę be jokio prisijungimo. Tai ir yra skirtumas tarp nemalonaus incidento ir visiško svetainės perėmimo.

Kokios versijos pažeidžiamos

Pilna RCE grandinė veikia WordPress 6.9.0–6.9.4 ir 7.0.0–7.0.1 versijose. SQL injekcija (CVE-2026-60137) paliečia ir 6.8.x seriją, tačiau ten jos nepavyksta sujungti į kodo vykdymą — nes „batch“ maršrutas atsirado tik 6.9, kuri pasirodė 2025 m. gruodžio 2 d.

Pataisytos versijos — WordPress 6.9.5 ir 7.0.2 — išleistos liepos 18 d. Jei jūsų svetainė sukasi ant 6.9.x ar 7.0.x ir dar neatnaujinta, ji šiuo metu yra atviroje rizikoje.

Kodėl reikia skubėti

Tai nebe teorinis scenarijus. „GitHub“ jau paskelbti vieši koncepcijos įrodymo (PoC) egzploitai, kai kurie iš jų — neautentifikuotam RCE be administratoriaus prisijungimo. Saugumo bendrovė „watchTowr“ praneša pastebėjusi pirmuosius realaus išnaudojimo požymius, o „Cloudflare“ visiems savo planams įjungė WAF apsaugą nuo šios atakos. Kai egzploitas yra viešas ir paprastas, masiniai automatiniai skenavimai prasideda per valandas, ne dienas.

Ką daryti dabar

Prioritetų tvarka:

• Atnaujinkite WordPress branduolį iki 6.9.5 arba 7.0.2 — tai vienintelis tikras sprendimas.
• Jei atnaujinti iškart negalite, kaip laikiną priemonę „Searchlight Cyber“ siūlo įdiegti papildinį, blokuojantį anoniminę REST API prieigą, arba WAF lygmenyje užblokuoti /wp-json/batch/v1 ir ?rest_route=/batch/v1 maršrutus.
• Patikrinkite serverio žurnalus dėl įtartinų kreipinių į šiuos maršrutus — jei RCE jau įvyko, atnaujinimas užrakina duris, bet neišveja to, kas jau viduje.

Platesnis vaizdas: 20 000 kartų grąža

Įsidėmėtina ne tik pati spraga, bet ir ekonomika už jos. Jei brokeriai už WordPress RCE tikrai moka apie 500 000 dolerių, o modelio žetonai kainavo 25 — tai maždaug 20 000 kartų grąža iš vienos savaitgalio sesijos. Iki šiol tokį darbą galėjo atlikti tik siaura elitinių saugumo tyrėjų grupė, praleisdama savaites. Dabar „pakankamai gerą“ pažeidžiamumo analizę geba atlikti kalbos modelis, o žmogus lieka kaip kryptį duodantis operatorius.

Tai dviašmenis kalavijas. Ta pati technologija, kuri gynėjams leidžia pigiai audituoti savo kodą, puolėjams nuleidžia įėjimo slenkstį iki juokingai žemo. Lietuvos kontekste tai ypač aktualu: didelė dalis smulkaus ir vidutinio verslo svetainių, e-parduotuvių ir agentūrų projektų sukasi būtent ant WordPress. „Automatinis atnaujinimas įjungtas“ nustoja būti biurokratine varnele ir tampa realia riba tarp veikiančio verslo ir perimtos svetainės.

Esmė paprasta: incidentas parodo, kur juda ir gynyba, ir puolimas. Kas nespėja atnaujinti per valandas, o ne savaites, tas žaidžia pralaimintį žaidimą — nes kita pusė jau naudojasi tais pačiais įrankiais, tik greičiau.