LONDON (IT BOLTWISE) – Angreifer nutzen derzeit die WordPress-Sicherheitslücke wp2shell als Kettenangriff: Zuerst gelingt eine unauthentifizierte SQL-Injection, anschließend folgt eine Remote-Code-Ausführung bis hin zum vollständigen System-Compromise. Entscheidend ist dabei die Kombination zweier CVEs, die zusammen einen Einstieg ohne Login ermöglichen. Beobachter sehen zudem Proof-of-Concept-getriebene Hochlaufversuche und Scans in großem Maßstab, sobald öffentliche Exploit-Details verfügbar waren. Für Betreiber zählt jetzt vor allem das schnelle Patchen und das aktive Suchen nach kompromittierten Dateien und neuen Admin-Accounts.
Mit wp2shell taucht in WordPress ein Angriffsmuster auf, das nicht auf einen einzelnen Bug setzt, sondern auf eine präzise orchestrierte Exploit-Kette: Aus zwei zuvor gemeldeten Schwachstellen wird zusammen eine unauthentifizierte Remote Code Execution (RCE), die Default-Installationen treffen kann. Die beteiligten Lücken sind als CVE-2026-63030 und CVE-2026-60137 bezeichnet. Laut der Beschreibung in der Quelle beginnt der reale Missbrauch frühzeitig mit öffentlich verfügbarer Exploit-Logik, erst danach kommt die RCE in den vollen Funktionsumfang, sobald zusätzliche Details publik werden.
Technisch ist das Zusammenspiel der beiden Komponenten der entscheidende Punkt. Die SQL-Injection (CVE-2026-60137) gilt ab WordPress 6.8 als vorhanden, während die RCE-Funktionalität CVE-2026-63030 ab WordPress 6.9 greift – wobei eine wichtige Bedingung hinzukommt: RCE soll nur dann möglich sein, wenn ein persistenter Object-Cache nicht genutzt wird. Was das im Betrieb bedeutet: Betreiber können sich nicht darauf verlassen, dass “es läuft schon” oder dass die Umgebung ähnlich ist, sondern sollten die Cache-Konfiguration explizit gegen die Voraussetzungen prüfen und die zugehörigen Updates zeitnah nachziehen.
Die beobachteten Angriffsmuster zeigen außerdem, wie stark öffentliche Proof-of-Concepts die Angriffslogik beschleunigen. In den Berichten heißt es, dass Angreifer zunächst Cred-Assets in Form gehashter Authentifizierungsdaten exfiltrieren konnten und später Remote-Code-Ausführung nachschoben, nachdem mehr Kontext zu Tage getreten war. Weiter wird geschildert, dass die Ausnutzung mehrere SQLi-Varianten umfasst, darunter blind- und UNION-basierte sowie Boolean-basierte Payloads. Besonders relevant für Defensivteams ist die Aussage, dass KI-gestützte Analyse das Reproduzieren der Schwachstelle und das Erstellen eines funktionierenden PoC angeblich stark vereinfacht habe – damit sinkt für Angreifer die Einstiegshürde, sobald genügend Detailinformationen öffentlich kursieren.
Auch die “Industrialisierung” der Attacke fällt auf: Telemetriedaten werden mit konkreten IP-Adressen aus mehreren Ländern verknüpft, darunter Schweiz, Deutschland, das Vereinigte Königreich, Indonesien, Litauen, die Niederlande und Singapur. Aus der Quelle geht zudem hervor, dass die Kampagne von WordPress-spezifischen Sensoren auf breiteres Internet-Scanning ausgedehnt wurde. Damit bewegen sich die Akteure weg von gezieltem Recon hin zu opportunistischem Massenanfragen-Verhalten, das sich an den Mustern der öffentlichen PoCs orientiert. In der Praxis erhöht das die Wahrscheinlichkeit, dass irgendwann auch Systeme ohne direkte “Vorwarnung” getroffen werden, etwa wenn ein WAF-Setup oder Auto-Update-Strategien uneinheitlich sind.
Nach der anfänglichen Kompromittierung beschreiben Sicherheitsbeobachter typische Post-Exploitation-Schritte. Dazu zählen das Hochladen eines bösartigen Plugins, das Enumerieren von Nutzern inklusive dem Harvesten von Admin-Benutzernamen und E-Mail-Adressen sowie lokale File-Inclusion-Angriffe (LFI), um Datenbankzugänge und Authentifizierungsschlüssel für die anschließende Exfiltration zu finden. Anschließend folgt der Zugriff auf das Admin-Panel inklusive erfolgreichem Login, ehe ein PHP-Webshell installiert wird, die RCE weiter nutzbar macht. Ergänzend wird ein Webshell-Sample erwähnt, das als “CMSmap” getarnt ist und Funktionen wie Dateiverwaltung, Datenbankzugriff, Port-Scanning, Batch-Code-Injection und Module zur Rechteausweitung inklusive MySQL UDF-Ansatz unterstützt. Für die Incident Response ist das deshalb wichtig, weil die Spuren nicht nur in Logeinträgen, sondern häufig auch in der Dateistruktur landen.
Was Betreiber jetzt konkret priorisieren sollten, ergibt sich direkt aus der beschriebenen Angriffskette: Erstens Instanzen auf neue Administrator-Accounts, bösartige Plugins und verdächtige Dateien prüfen – und zwar auch dann, wenn Patches bereits eingespielt wurden, weil die Ausnutzung zeitlich versetzt auftreten kann. Zweitens die Zeitfenster und Konfigurationsvarianten berücksichtigen: In der Quelle wird betont, dass Auto-Background-Updates und teils schnelle WAF-gestützte virtuelle Patches die Exposure Window reduzieren konnten. Wo Updates deaktiviert, in Warteschleifen gebunden oder erfolglos waren, bleibt jedoch ein reales Risiko, und bei der enormen Verbreitung von WordPress können weiterhin viele Installationen nachverzögert verwundbar sein. Drittens sollte die “Patch-only”-Annahme abgelegt werden: Nach öffentlichem Exploit-Zugang geht es zusätzlich darum, Indikatoren für Kompromittierung zu finden und zu verifizieren, ob das System nach dem Update tatsächlich sauber ist, statt nur den Fix als erledigt zu betrachten.
Über die unmittelbare Gefahrenlage hinaus zeigt wp2shell ein wiederkehrendes Muster der letzten Jahre: Wenn Schwachstellen-Details und PoCs öffentlich werden, steigt die Zahl automatisierter Scans schnell, und die Angriffe werden nicht zwingend mit Lateral Movement oder Datenabfluss fortgesetzt – sie dienen häufig zunächst dem Finden verwundbarer Ziele. Die Quelle erwähnt genau dieses Verhalten in Form von Hochvolumen-Scans ohne anschließende Post-Exploitation in einzelnen Fällen. Für Sicherheitsverantwortliche heißt das: Patch-Compliance ist nötig, aber nicht ausreichend. Entscheidend ist ein Zusammenspiel aus schneller technischer Schadensbegrenzung, zuverlässiger Systemhygiene und der aktiven Kontrolle, ob die eigentliche Exploit-Kette bereits gelaufen ist.
Bildhinweis: Bitte beachten Sie, dass der konkrete Inhalt und die Bedingungen der Schwachstellen aus öffentlichen Beschreibungen abgeleitet wurden; für die Umsetzung im Betrieb sollten Betreiber ihre Umgebung und WordPress-Versionen anhand der genannten CVEs und der beschriebenen Cache-Voraussetzungen verifizieren und die Sicherheitsindikatoren systematisch prüfen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WordPress wp2shell: Kettenangriff aus SQLi und RCE treibt Massenscans" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WordPress wp2shell: Kettenangriff aus SQLi und RCE treibt Massenscans" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WordPress wp2shell: Kettenangriff aus SQLi und RCE treibt Massenscans« bei Google Deutschland suchen, bei Bing oder Google News!