WordPress Core è già sotto sfruttamento di massa automatizzato
Il punto non è più se WP2Shell sia sfruttabile. Il punto è che WordPress Core esposto su Internet viene già colpito in modo continuo e automatico, quindi una installazione non patchata va trattata come potenzialmente raggiunta e non solo come vulnerabile in astratto. Il rischio reale è trovare già dentro web shell o account di amministratore creati durante la finestra di esposizione.
FortiGuard dice di aver bloccato 4.649 tentativi nelle ultime 24 ore e di aver registrato 88.452 rilevazioni in sette giorni. La catena combina CVE-2026-63030, confusione del REST API batch route, e CVE-2026-60137, una SQL injection in WP_Query, per ottenere RCE senza login, plugin o interazione utente; i fix sono in WordPress 6.8.6, 6.9.5, 7.0.2 o versioni successive.
La presenza di PoC pubblici e di sfruttamento osservato in campo rende il problema persistente anche dopo la patch: correggere il codice non rimuove un foothold già piazzato. Per gli ambienti WordPress esposti verso Internet, il limite tra esposizione e compromissione è già stato superato.