WordPress-RCE-Schwachstelle ermöglicht Hackern die Übernahme von Websites

Eine kritische WordPress-RCE-Schwachstelle wird aktiv ausgenutzt und kann Angreifern die vollständige Kontrolle über anfällige Websites ermöglichen – ohne Anmeldung oder Nutzerinteraktion.

Die als wp2shell bekannte Schwachstelle betrifft gewöhnliche WordPress-Installationen und erfordert weder ein anfälliges Plugin noch eine besondere Konfiguration. Sicherheitsteams fordern Administratoren auf, ihre Websites sofort zu aktualisieren.

WordPress hat Sicherheitsupdates veröffentlicht und wegen der Schwere des Problems erzwungene automatische Updates für betroffene Versionen aktiviert.

Welche WordPress-Versionen sind betroffen?

Die WordPress-RCE-Schwachstelle betrifft mehrere aktuelle Versionen des Content-Management-Systems.

Folgende Versionen benötigen ein Update:

• WordPress 6.9.0 bis 6.9.4 — behoben in Version 6.9.5
• WordPress 7.0.0 bis 7.0.1 — behoben in Version 7.0.2
• WordPress 7.1 Beta — behoben in Version 7.1 Beta2

Ältere WordPress-Versionen sind nicht von der gesamten Angriffskette betroffen. Administratoren sollten dennoch alle Installationen aktuell halten, um weitere Sicherheitsrisiken zu verringern.

WordPress betreibt einen großen Teil des Internets. Sicherheitsforscher schätzen, dass mehr als 500 Millionen Websites die Plattform nutzen. Daher könnte eine breite Ausnutzung erhebliche Folgen haben.

Zwei Schwachstellen bilden eine kritische Angriffskette

Der wp2shell-Angriff kombiniert zwei separate Schwachstellen, die WordPress durch unabhängige Fehlerbehebungen eingeführt hat.

Die erste Schwachstelle, CVE-2026-63030, führt zu einer Verwechslung von Routen in der Batch-Verarbeitungsfunktion der WordPress REST API. Sie hat einen kritischen Schweregrad von 9,8 von 10.

Die Batch-Verarbeitung ermöglicht es, mehrere API-Anfragen gemeinsam zu senden. Die anfällige Funktion kann Berichten zufolge jedoch den Überblick darüber verlieren, welche Anfragen ordnungsgemäß geprüft und autorisiert wurden.

Dadurch könnten Angreifer Zugriff auf interne API-Funktionen erhalten, die nicht öffentlich verfügbar sein sollten.

Die zweite Schwachstelle, CVE-2026-60137, ist eine SQL-Injection-Lücke mit einem Schweregrad von 9,1. Angreifer können sie allein nicht auf dieselbe Weise ausnutzen. Sie können sie jedoch mit der ersten Schwachstelle kombinieren, um Datenbankabfragen zu manipulieren und eine Remote-Code-Ausführung zu erreichen.

Einfach gesagt können die beiden Schwachstellen nicht authentifizierten Angreifern ermöglichen, schädliche Befehle auf einem anfälligen WordPress-Server auszuführen.

Angreifer nutzen die Schwachstelle bereits aus

Sicherheitsforscher haben vollständige technische Details zurückgehalten, um einen sofortigen Missbrauch zu begrenzen. Mehrere Sicherheitsunternehmen haben dennoch bereits bestätigt, dass Angreifer versuchen, die WordPress-RCE-Schwachstelle auszunutzen.

Berichten zufolge kursiert auch öffentliches Proof-of-Concept-Material im Internet.

Ein erfolgreicher Angriff könnte Kriminellen ermöglichen, Schadsoftware zu installieren, Website-Daten zu stehlen, Inhalte zu verändern, Administratorkonten anzulegen oder den kompromittierten Server für weitere Angriffe zu nutzen.

Für Unternehmen könnten die Folgen Website-Ausfälle, die Offenlegung von Kundendaten, Schäden am Suchmaschinenranking und Umsatzeinbußen umfassen.

So schützen Sie eine WordPress-Website

Die Aktualisierung von WordPress ist der wichtigste Schritt. Website-Administratoren sollten das relevante Sicherheitsupdate so schnell wie möglich installieren und überprüfen, ob die automatischen Updates erfolgreich abgeschlossen wurden.

Erstellen Sie vor dem Update eine aktuelle Sicherung der Website-Dateien und der Datenbank. Testen Sie danach wichtige Seiten, Plugins, Formulare, Zahlungsfunktionen und Integrationen.

Falls ein sofortiges Update nicht möglich ist, kann eine Web Application Firewall vorübergehenden Schutz bieten, indem sie schädliche Anfragen an die betroffene REST-API-Batch-Funktion blockiert. Dies kann jedoch legitime Website-Funktionen beeinträchtigen.

Administratoren können außerdem den nicht authentifizierten Zugriff auf die WordPress REST API vorübergehend einschränken. Dies sollte nur als kurzfristige Maßnahme dienen, da einige Plugins, Themes und externe Dienste von der API abhängen können.

Abschließend sollten Website-Besitzer Server- und WordPress-Protokolle auf ungewöhnliche Aktivitäten prüfen. Dazu gehören insbesondere unerwartete Anfragen an REST-API-Endpunkte, unbekannte Administratorkonten oder verdächtige Änderungen an Website-Dateien.