WP2Shell

🗓️ Contexte Source : Help Net Security, publié le 22 septembre 2026. L’article rapporte les conclusions de GreyNoise concernant l’exploitation active d’une vulnérabilité affectant les switches Zyxel GS1900 Smart Managed Switches, ciblant des environnements PME, écoles, hôtels et commerces. 🔍 Vulnérabilité exploitée CVE-2026-7273 : stack-based buffer overflow affectant les firmwares 2.90(XXXX.1)C0 et antérieurs des switches Zyxel GS1900 Exploitable depuis le LAN, sans authentification, via une requête HTTP spécialement forgée Permet l’exécution de commandes OS sur l’équipement Patch disponible depuis juin 2026 (nouvelles versions firmware) Ajoutée au catalogue KEV de la CISA, délai de remédiation fixé au 24 septembre 2026 🌍 Étendue de la compromission 996 équipements compromis dans 48 pays Pays les plus touchés : Italie, États-Unis, Taïwan, Corée du Sud, plusieurs pays de l’UE 564 victimes utilisaient des credentials d’usine par défaut Attaques survenues aux alentours du 17 août 2026 📦 Données exfiltrées Configuration des équipements Informations réseau Credentials root hashés 🛠️ Méthode d’attaque Exploit contenu dans un script Python fortement obfusqué via l’outil commercial PyArmor Après déobfuscation : ciblage explicite des firmwares 2.10 à 2.90 du modèle GS1900-24 Options CLI disponibles pour cibler d’autres firmwares dans le périmètre de la vulnérabilité 🔗 Attribution et campagnes liées GreyNoise attribue cette activité à un acteur sinophone ayant conduit des opérations antérieures en 2026 : ...

🔍 Contexte Publié le 21 septembre 2026 par GreyNoise (Andrew Thompson, Mark Mager), ce rapport documente l’activité d’un acteur malveillant cybernétique (MCA) suivi depuis juin 2026 via le Global Observation Grid (GOG) de GreyNoise. L’acteur est suspecté d’être sinophone, opérant en UTC+8, et est relié au groupe “Red Heron” précédemment rapporté par Acronis, sur la base d’un domaine C2 commun, d’une famille de malware partagée et de TTPs similaires. 🎯 Campagne d’exploitation multi-vecteurs L’acteur a ciblé une large gamme de technologies entre juin et septembre 2026 : ...

🔍 Contexte Publié le 5 août 2026 sur le blog Calif.io, cet article présente wp2root, une chaîne post-exploitation développée par l’équipe Calif pour faire suite à wp2shell (RCE pré-authentifiée WordPress Core d’AssetNote). L’article est accompagné d’un dépôt PoC public. 🎯 Objectif de la chaîne La chaîne wp2root part d’une exécution PHP contrainte (obtenue via wp2shell) et aboutit à un accès root sur le système Linux hôte, en contournant les restrictions PHP (disable_functions, filesystem read-only) et les protections noyau. ...

🔍 Contexte Publié le 18 juillet 2026 sur le blog ZephrSec (zsec.uk), cet article constitue une analyse technique approfondie (code trace) de la vulnérabilité wp2shell, découverte et documentée par AssetNote. Elle affecte WordPress Core versions 6.9.0 à 7.0.1 et porte deux CVEs : CVE-2026-63030 et CVE-2026-60137. 🐛 Description des vulnérabilités La chaîne d’exploitation repose sur trois composants vulnérables : Désynchronisation du batch REST (/wp-json/batch/v1) : un chemin malformé (http://:) provoque un WP_Error qui est ajouté à $validation mais pas à $matches, désalignant les deux tableaux parallèles. Cela permet à un objet requête d’être dispatché avec le handler d’une autre route. Route confusion : la requête d’un endpoint (/wp/v2/categories) est exécutée par le handler de /wp/v2/posts, contournant la validation du schéma REST. Injection SQL dans WP_Query (author__not_in) : une valeur scalaire non normalisée atteint la construction SQL sans coercition entière, permettant l’injection d’expressions SQL arbitraires (ex: SELECT IF((condition),SLEEP(delay),0)). ⚙️ Chaîne d’exploitation (PoC Python) Le PoC est structuré en deux étapes : ...

📰 Source : SecurityWeek — publié le 20 juillet 2026 L’article rapporte l’exploitation active de deux nouvelles vulnérabilités affectant WordPress, identifiées sous les références CVE-2026-60137 et CVE-2026-63030, regroupées sous le nom WP2Shell. ⚡ L’exploitation de ces failles a débuté rapidement après leur divulgation publique, ce qui indique une fenêtre de remédiation très courte pour les administrateurs de sites WordPress. 🎯 Les détails techniques précis sur la nature des vulnérabilités (type, vecteur d’attaque, score CVSS) ne sont pas fournis dans cet extrait. ...