Öffentliche Exploits sind jetzt für zwei schwerwiegende Schwachstellen in WordPress Core verfügbar, die zusammen als wp2shell bekannt sind.
Angreifer können die WordPress-wp2shell-Schwachstellen kombinieren, um ohne Authentifizierung schädlichen Code auf anfälligen Websites auszuführen. Sicherheitsforscher haben außerdem erste Anzeichen einer Ausnutzung in realen Angriffen entdeckt.
Die vollständige Angriffskette betrifft WordPress 6.9.0 bis 6.9.4 sowie die Versionen 7.0.0 bis 7.0.1. Administratoren sollten sofort auf WordPress 6.9.5 oder 7.0.2 aktualisieren.
Zwei Schwachstellen ermöglichen den wp2shell-Angriff
Der wp2shell-Angriff beruht nicht auf einer einzelnen Sicherheitslücke. Stattdessen kombiniert er zwei separate Schwachstellen in WordPress Core.
Forscher führen die erste Schwachstelle unter CVE-2026-63030. Sie betrifft eine Verwechslung in einer Batch-Route der WordPress REST API.
Dieser Fehler trat erstmals in WordPress 6.9 auf. Angreifer können ihn mit einer separaten SQL-Injection-Schwachstelle kombinieren, um Remote Code Execution zu erreichen.
Die zweite Schwachstelle, CVE-2026-60137, betrifft den Parameter author__not_in in WP_Query. Sie ermöglicht es Angreifern, schädliche SQL-Befehle in anfällige Websites einzuschleusen.
Das SQL-Injection-Problem betrifft WordPress 6.8 und spätere Versionen. Angreifer können es jedoch unter WordPress 6.8 nicht für die vollständige wp2shell-Angriffskette mit Remote Code Execution nutzen.
Der Grund dafür ist, dass die erforderliche REST-API-Schwachstelle erst in WordPress 6.9 eingeführt wurde.
Angriff erfordert keine Authentifizierung
Die WordPress-wp2shell-Schwachstellen stellen ein besonders hohes Risiko dar, weil Angreifer sie aus der Ferne ohne Anmeldung ausnutzen können.
Laut den Forschern, die die Schwachstellen entdeckt haben, kann ein anonymer Angreifer eine Standardinstallation von WordPress angreifen. Der Angriff erfordert weder anfällige Plugins noch spezielle Konfigurationseinstellungen.
Daher können auch Websites mit einer normalen WordPress-Installation gefährdet sein.
Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, Befehle auf dem zugrunde liegenden Server auszuführen. Von dort aus könnte der Eindringling Schadsoftware installieren, Informationen stehlen, Website-Inhalte verändern oder dauerhaften Zugriff einrichten.
Der Angreifer könnte die kompromittierte Website auch nutzen, um Schadsoftware zu verbreiten oder Besucher anzugreifen.
Öffentliche Exploits erhöhen die Gefahr
Mehrere Proof-of-Concept-Exploits für die WordPress-wp2shell-Schwachstellen wurden öffentlich veröffentlicht.
Einige Varianten nutzen SQL Injection, um WordPress-Passwort-Hashes auszulesen. Anschließend können Angreifer versuchen, ein Administratorpasswort zu knacken, sich im Dashboard anzumelden und ein schädliches Plugin hochzuladen.
Nach der Installation kann dieses Plugin Befehle auf dem Server ausführen.
Andere öffentliche Exploits behaupten jedoch, Remote Code Execution ohne Administrator-Zugangsdaten zu ermöglichen. Dieser Ansatz entspricht der ursprünglichen Beschreibung der Schwachstellenkette.
Sicherheitsforscher haben nicht bestätigt, dass jeder öffentliche Exploit wie beschrieben funktioniert. Dennoch haben sie bereits erste Anzeichen einer Ausnutzung gegen reale Websites beobachtet.
Die Verfügbarkeit öffentlichen Codes macht großflächige Angriffe wahrscheinlicher. Kriminelle können die vorhandenen Exploits nun untersuchen und anpassen, statt einen Angriff von Grund auf zu entwickeln.
Betroffene WordPress-Versionen
Die vollständige wp2shell-Kette für Remote Code Execution betrifft die folgenden Versionen:
- WordPress 6.9.0 bis 6.9.4
- WordPress 7.0.0 bis 7.0.1
Die SQL-Injection-Schwachstelle betrifft außerdem WordPress 6.8.0 bis 6.8.5. Diese Versionen enthalten jedoch nicht den REST-API-Fehler, der für den vollständigen Angriff mit Remote Code Execution erforderlich ist.
WordPress hat beide Schwachstellen in den Versionen 6.9.5 und 7.0.2 behoben.
Aufgrund der Schwere der Schwachstellen hat das WordPress-Sicherheitsteam erzwungene automatische Updates für unterstützte Websites aktiviert, auf denen betroffene Versionen laufen.
Website-Betreiber sollten jedoch nicht davon ausgehen, dass das Update erfolgreich abgeschlossen wurde. Administratoren sollten die installierte Version manuell überprüfen.
Vorübergehende Schutzmaßnahmen verfügbar
Organisationen, die nicht sofort aktualisieren können, können vorübergehende Schutzmaßnahmen anwenden.
Eine Möglichkeit besteht darin, anonymen Zugriff auf die WordPress REST API zu blockieren. Dies kann jedoch Plugins oder Website-Funktionen beeinträchtigen, die von der API abhängig sind.
Administratoren können außerdem die folgenden Pfade über eine Web Application Firewall blockieren:
/wp-json/batch/v1?rest_route=/batch/v1
Diese Maßnahmen können die Gefährdung durch den REST-API-Teil der Angriffskette reduzieren. Sie ersetzen jedoch nicht das offizielle Sicherheitsupdate.
Einige Anbieter von Webinfrastruktur haben außerdem Firewall-Regeln eingeführt, um Ausnutzungsversuche zu blockieren. Diese Schutzmaßnahmen decken sowohl das SQL-Injection-Problem als auch die Schwachstelle in der REST-API-Batch-Route ab.
Auch Websites hinter einer Firewall sollten die gepatchte WordPress-Version installieren.
Administratoren sollten sofort patchen
Website-Betreiber sollten so schnell wie möglich auf WordPress 6.9.5 oder 7.0.2 aktualisieren.
Nach dem Update sollten Administratoren prüfen, ob Angreifer vor der Installation des Patches Zugriff auf die Website hatten. Verdächtige Administratorkonten, veränderte Dateien, unbekannte Plugins und unerwartete Serverprozesse können auf eine Kompromittierung hinweisen.
Sicherheitsteams sollten außerdem Webserver-Protokolle auf ungewöhnliche REST-API-Anfragen überprüfen. Zusätzlich sollten sie Datenbankaktivitäten und aktuelle Änderungen an WordPress-Dateien untersuchen.
Da öffentliche Exploits kursieren und erste Angriffe auftauchen, schafft eine verzögerte Aktualisierung ein unnötiges Risiko.
0 Kommentare zu „WordPress-wp2shell-Schwachstellen werden aktiv ausgenutzt“