🤯 wp2shell (CVE-2026-63030): Pre-Auth #RCE Chain in #WordPress Core

“WordPress patched it in 6.9.5 and 7.0.2, touching three files and sixteen lines. This post covers what broke, why the bugs connect, and what teams running WordPress need to do.”

https://fullhunt.io/blog/2026/07/17/wp2shell-wordpress-core-pre-auth-rce-cve-2026-63030.html

‼️ CVE-2026-63030: wp2shell, a critical remote code execution vulnerability in WordPress core

Credit: @hash_kitten // @assetnote

PoC: https://x.com/DarkWebInformer/status/2078251636623851682

⚠️ CRITICAL: WordPress Core "wp2shell" RCE flaws get public exploits, patch now

Critical unauthenticated RCE vulnerabilities in WordPress Core (CVE-2026-63030, CVE-2026-60137) are actively exploited via public PoCs. The wp2shell attack chains REST API and SQL injection flaws to achieve code execution on default installations of WordPress 6.9.x and 7.0.x. All affected WordPress…

https://threatnoir.com/focus

#infosec #cybersecurity

🕷 Bugs Alerts
━━━━━━━━━━━━━━━━━━━━━

🚨 New Vulnerability!

🆔 CVE ID:
CVE-2026-12228
📊 Severity: 🟠 HIGH
📈 CVSS Score: 8.7
📅 Published: 2026-07-18 21:17 UTC

📝 Description:
A stored cross-site scripting (XSS) vulnerability exists in the POST /api/prompts/share endpoint of parisneo/lollms (latest version). The endpoint stores attacker-controlled prompt_content into DBDirectMessage.content without server-side sanitization. When a victim opens the direct message (DM) thread, the message is rendered by the DM UI through MessageContentRenderer, which uses v-html...

━━━━━━━━━━━━━━━━━━━━━
👨‍💻

CVE-2026-12228: parisneo/lollms suffers HIGH severity stored XSS (CVSS 8.7) via POST /api/prompts/share. Authenticated users can execute JS in victims' browsers, risking account takeover. Patch status unknown — check vendor updates. https://radar.offseq.com/threat/cve-2026-12228-cwe-79-improper-neutralization-of-input-during-web-page-generation-cross-site-scripting-9a447d2fa5ce8bc8 #OffSeq #XSS #Vuln #InfoSec

https://www.wacoca.com/news/2887343/ 7-Zip 26.01以下にリモートコード実行の脆弱性『CVE-2026-14266』。26.02以降へアップデートを | ニッチなPCゲーマーの環境構築Z #Science&Technology #ScienceNews #TechnologyNews #テクノロジー #科学 #科学＆テクノロジー

Critical Alert: CVE-2026-46817 is being actively exploited against Oracle E-Business Suite. An unauthenticated attacker can achieve full takeover of the Payments module via HTTP. Get the forensic detection queries and hardening protocols in our latest TSUITE brief. Protect the perimeter. https://thecybermind.co/g325

En las últimas 24 horas se detectó un dropper que oculta AsyncRAT en imágenes bitmap, una peligrosa IA que explota firmware de dispositivos, exploits públicos para vulnerabilidades críticas en WordPress y una falla grave en 7-Zip que permite ejecución remota, además de un parche esencial para OpenSSL y una brecha crítica en Chrome que exige actualización inmediata; todo mientras Facebook e Instagram sufren caídas globales, evidenciando la necesidad de resiliencia y protección constante. Descubre estos y más detalles en el siguiente listado de noticias sobre seguridad informática:

🗞️ ÚLTIMAS NOTICIAS EN SEGURIDAD INFORMÁTICA 🔒
====| 🔥 LO QUE DEBES SABER HOY 19/07/26 📆 |====

🔍 PIXELS TO PAYLOAD: ANÁLISIS DE UN DROPPER DE ESTEGANOGRAFÍA EN BITMAP QUE ENTREGA ASYNCRAT

Descubre cómo un dropper multi-etapa utiliza canales de píxeles en imágenes bitmap para ocultar cargadores maliciosos que entregan el troyano AsyncRAT 0.5.8 sin clave de cifrado, sofisticando el método de infección y evadiendo detección. Este análisis técnico es clave para entender amenazas avanzadas en la cadena de infección. Profundiza en este estudio detallado aquí 👉 https://djar.co/reszTB

🤖 INVESTIGACIÓN DE VULNERABILIDADES ASISTIDA POR IA EN DISPOSITIVOS INTEGRADOS

Un agente de inteligencia artificial ha sido empleado para identificar y explotar vulnerabilidades en firmware de dispositivos críticos como módems y consolas, revelando tanto fallos conocidos como nuevas brechas de seguridad. La amenaza es mayor por la masiva exposición de millones de dispositivos sin soluciones inmediatas. Conoce el impacto y posibles mitigaciones visitando 👉 https://djar.co/HMPo0P

⚠️ VULNERABILIDADES CRÍTICAS "WP2SHELL" EN WORDPRESS CORE YA CUENTAN CON EXPLOITS PÚBLICOS

Se han hecho públicos exploits para vulnerabilidades de ejecución remota de código en WordPress Core, denominadas “wp2shell”, que pueden comprometer la integridad de sitios web. La recomendación urgente para administradores es aplicar los parches de seguridad disponibles para evitar ataques inmediatos. Actualízate y protege tu instalación en 👉 https://djar.co/SKOiuj

🛡️ ACTUALIZACIÓN DE 7-ZIP PARA CORREGIR VULNERABILIDAD DE EJECUCIÓN REMOTA DE CÓDIGO

Se lanzó la versión 26.02 de 7-Zip, que soluciona un fallo grave que permitía la ejecución de código malicioso a través de archivos comprimidos manipulados. Mantener esta herramienta actualizada es fundamental para evitar la explotación de este vector. Descarga la actualización oficial aquí 👉 https://djar.co/597y

🔐 OPENSSL CORRIGE FALLA DE AGOTAMIENTO DE MEMORIA HOLLOWBYTE

OpenSSL ha publicado un parche para la vulnerabilidad HollowByte que permitía a atacantes remotos provocar denegación de servicio mediante agotamiento de memoria en servidores. Esta falla podría impactar la disponibilidad de servicios críticos, por lo que es vital actualizar los sistemas que utilizan esta biblioteca. Más detalles y parche disponible en 👉 https://djar.co/LGuGFB

📉 REPORTE DE CAÍDAS EN FACEBOOK E INSTAGRAM AFECTA A USUARIOS INTERNACIONALES

Usuarios alrededor del mundo han experimentado interrupciones en Facebook e Instagram, impidiendo el acceso a sus feeds y afectando la comunicación global. Aunque no se reporta compromiso de datos, esta situación resalta la importancia de la resiliencia en plataformas sociales clave. Sigue la evolución del incidente en 👉 https://djar.co/9NJbKE

🌐 VULNERABILIDAD CRÍTICA EN CHROME CVE-2026-15903 AFECTA MOTOR V8

Google identificó una vulnerabilidad en su navegador Chrome, CVE-2026-15903, relacionada con escritura fuera de límites en el motor JavaScript V8, que puede ser explotada para ejecutar código arbitrario. Es imprescindible que los usuarios actualicen a la última versión para protegerse contra posibles ataques. Actualiza tu navegador ahora aquí 👉 https://djar.co/x8hO

CVE-2026-16096: HIGH severity stack buffer overflow in Shibby Tomato 1.28 RT-N5x MIPSR2 Build 124 (/proc/webmon_recent_domains). Remote exploit possible, no official patch. Migrate to FreshTomato. https://radar.offseq.com/threat/a-vulnerability-has-been-found-in-shibby-tomato-128-rt-n5x-mipsr2-build-124-cve-2026-16096-68e7082f09658d0a #OffSeq #Vulnerability #RouterSecurity #CVE #IoT

⚠️ CRITICAL: Fresh SharePoint Vulnerability Exploited Soon After Disclosure

Microsoft SharePoint RCE vulnerability CVE-2026-58644 (CVSS 9.8) is actively exploited in the wild following July 2026 Patch Tuesday disclosure. Authenticated attackers with Site Owner privileges can execute arbitrary code via deserialization flaws. All organizations running affected SharePoint ver…

https://threatnoir.com/focus

#infosec #cybersecurity

CVE-2026-16125 - SSRF in Zevorn rt-claw up to 0.2.0. Remote exploitation via http_request argument manipulation. CVSS 7.3. Public exploit available. Unpatched. Update or mitigate immediately. #CVE #infosec #Zevorn

https://www.valtersit.com/cve/CVE-2026-16125/

CVE-2026-16125 - SSRF in Zevorn rt-claw up to 0.2.0. Remote exploitation via url argument in claw_net_get/claw_net_post. CVSS 7.3. Exploit public, no patch available. Monitor or isolate affected systems. #CVE #Zevorn #infosec

https://www.valtersit.com/cve/CVE-2026-16125/

🚨 High-severity security fix in fast-uri@4.1.1 (also 3.1.4 and 2.4.3 backports) just released!

Patches CVE-2026-16221, host confusion via literal backslash authority delimiter.

https://github.com/fastify/fast-uri/security/advisories/GHSA-v2hh-gcrm-f6hx

CVE-2026-13446 - Critical hardcoded credentials in IBM Langflow OSS 1.0.0-1.10.1. CVSS 9.8. Risk of unauthorized access & data compromise. No patch available. Isolate affected systems immediately. #CVE #IBM #infosec

https://www.valtersit.com/cve/CVE-2026-13446/