Een kritieke kwetsbaarheid in WordPress met de naam WP2Shell is gevonden met behulp van AI-model GPT5.6 Sol Ultra, zo stelt beveiligingsonderzoeker Adam Kues van cybersecuritybedrijf Searchlight Cyber. De kwetsbaarheid die remote code execution (RCE) mogelijk maakt bevindt zich in de code van WordPress Core, het contentmanagementsysteem waarop honderden miljoenen websites draaien. Misbruik is in de standaardconfiguratie mogelijk en vereist geen aparte plug-ins of andere zaken. Volgens Kues was hij in totaal 25 dollar aan kosten kwijt voor het gebruik van het AI-model.
GPT5.6 Sol Ultra is ontwikkeld door OpenAI. Het bedrijf stelde vorige maand dat GPT 5.6 het sterkste AI-model is dat het tot nu toe heeft ontwikkeld. Het model is voor allerlei taken in te zetten, waaronder het vinden van kwetsbaarheden. Kues heeft vandaag de prompt gepubliceerd waarmee hij het AI-model de kwetsbaarheid liet vinden. Tevens heeft hij de details van het beveiligingslek gegeven, dat al sinds 2020 in de code van WordPress aanwezig was.
GPT5.6 was volgens de onderzoeker een aantal uur bezig met het vinden van het beveiligingslek. De kwetsbaarheid maakt SQL Injection binnen WordPress mogelijk, wat leidt tot het uitvoeren van code op de onderliggende webserver. "Hoewel de SQL Injection vrij goed te begrijpen was, was het post-exploitatie werk dat Sol had gedaan om RCE te krijgen volkomen absurd. Het kostte Sol misschien vier uur om te schrijven, maar het kostte mij veel, veel langer om te begrijpen", stelt Kues.
De complete exploitketen om van SQL Injection naar RCE te gaan was in totaal binnen tien uur gevonden en uitgewerkt, iets wat volgens Kues nagenoeg onmogelijk zou zijn voor een menselijke beveiligingsonderzoeker om binnen dezelfde tijd te realiseren. Vanwege het WordPress-lek zijn het Nationaal Cyber Security Centrum (NCSC) en cyberagentschappen uit allerlei andere landen inmiddels met waarschuwingen gekomen, waarin WordPress-gebruikers worden opgeroepen de update die het probleem verhelpt meteen te installeren.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Senior IAM specialist
Utrecht heeft jou nodig! Wil jij een sleutelrol spelen in de digitale dienstverlening van de gemeente Utrecht? Als Specialist Identity and Access Management (IAM) zorg je voor gecontroleerd toegangsbeheer van applicaties én werk je actief aan verbeteringen voor een optimale gegevensbescherming van onze inwoners en bedrijven. Solliciteer nu!
