Im Zentrum der Angriffe steht laut dem Quelltext die Batch-Verarbeitungsfunktion der WordPress-REST-API. Über diese Exploit-Kette können entfernte Angreifer auf anfälligen Installationen ohne Authentifizierung Code ausführen. Auch wenn technische Einzelheiten zunächst nicht veröffentlicht wurden, erschienen kurz nach der Offenlegung durch SearchLight Cyber erste funktionierende Demonstrationen des Angriffs.
Die Cloud-Sicherheitsfirma Wiz hat technische Details zu beobachteten Angriffen veröffentlicht. Demnach nutzten Bedrohungsakteure „wp2shell“, um persistente Webshells bereitzustellen und bösartige Plugins auf kompromittierten Servern zu installieren. Wiz erklärte zugleich, bislang weder seitliche Bewegung im Netzwerk noch Datenabfluss beobachtet zu haben, beobachte die Aktivitäten aber weiter.
Johannes B. Ullrich, Forschungsleiter am Sans Technology Institute, beschreibt in einem separaten Bericht zweistufige Angriffe. Diese beginnen demnach mit einem Test auf SQL-Injection, um die Verwundbarkeit zu bestätigen, und liefern anschließend eine PHP-Webshell auf den Server. Die Datei wurde unter /wp-content/cache/ mit einem zufällig erzeugten Dateinamen angelegt; derselbe Wert diente auch als Passwort, das per Variable in einer URL-Anfrage übergeben werden musste. Andernfalls lieferte die Seite eine gefälschte 404-Fehlermeldung zurück.
Der von Ullrich veröffentlichte Webshell-Code prüfte die Verfügbarkeit mehrerer PHP-Funktionen, darunter system(), passthru(), exec(), shell_exec(), popen() sowie den Backtick-Operator, um Befehle auszuführen. Nach Angaben des Forschers legen manche Angriffe zudem unautorisierte Administratorkonten an. Er empfiehlt deshalb, das Verzeichnis /cache/ zu prüfen und nach neu angelegten Benutzern zu suchen.
Auch die WordPress-Sicherheitsfirma Defiant hat einen Bericht über die Folgen der Schwachstelle veröffentlicht. Darin heißt es, dass die erste auf Ausnutzung hindeutende Aufklärung um 23:29 UTC am 17. Juli beobachtet wurde. Nur 13 Minuten später sei ein klarer SQL-Injection-Versuch gefolgt.
WordPress hat die Probleme in den Versionen 7.0.2, 6.9.5 und 6.8.6 behoben und für unterstützte Installationen automatische Sicherheitsupdates erzwungen. Administratoren von WordPress-Seiten sollten laut Quelltext unverzüglich auf die gepatchten Versionen aktualisieren, Protokolle auf „wp2shell“-bezogene Anfragen prüfen, installierte Plugins kontrollieren und nach neu hinzugefügten PHP-Dateien oder frisch angelegten Administratorkonten suchen.
Zur Verbreitung der Updates hat Macnica-Forscher Yutaka Sejiyama ein Dashboard erstellt, das die Patch-Quote in Echtzeit verfolgen soll. Das Portal meldet auf Basis einer Stichprobe von 124.580 untersuchten Websites eine Patch-Rate von 81,6 Prozent.
SearchLight-Cyber-Forscher Adam Kues legte zudem einen weiteren Bericht vor, der den Prozess der Entdeckung von „wp2shell“ und der Entwicklung einer funktionierenden Exploit-Kette detailliert beschreibt. Dabei kamen nach seinen Angaben auch KI-Werkzeuge zum Einsatz.