LONDON (IT BOLTWISE) – Mehrstufige Angriffe nutzen die kritische wp2shell-Schwachstelle, um ohne Authentifizierung persistente Webshells und schädliche Plugins auf WordPress-Servern zu platzieren. Betroffen sind WordPress-Installationen, deren REST-API über eine Batch-Verarbeitung angreifbar ist. Nach der Veröffentlichung von Proof-of-Concepts wurde die aktive Ausnutzung unmittelbar durch die zeitnahe Patch-Welle bestätigt. Für Administratoren zählt jetzt vor allem: Updates einspielen, Logdaten prüfen und versteckte PHP-Dateien im Cache-Umfeld suchen.
WordPress wird erneut zum Ziel einer Schwachstellenkette, die Security-Teams vor allem deshalb beschäftigt, weil sie sich auf eine Kombination aus Remote-Fähigkeiten und Persistenz stützt. Unter dem Namen wp2shell werden gleich zwei kritische Lücken zusammengefasst: CVE-2026-63030 und CVE-2026-60137 betreffen den WordPress Core. In der Praxis geht es darum, dass Angreifer die WordPress REST API ausnutzen und dabei keine Authentifizierung benötigen. Damit reicht ein ausreichend exponierter Installationsstand aus, um nicht nur einmalig Befehle auszuführen, sondern dauerhaft einen Zugriff über Webshells aufzubauen.
Technisch beschreibt der Angriff eine missbrauchte REST-API-Funktion, konkret die Batch-Verarbeitung, die für Integrationsszenarien im Plattformkern gedacht ist. Statt erwartungsgemäß nur Daten anzufragen, kann die Batch-Verarbeitung in der betroffenen Konstellation zum Einschleusen von Code führen. Danach verschiebt sich das Bild von „klassischem RCE“ hin zu einem vollständigen Kompromisszyklus: Angreifer laden über die Plugin-Upload-Funktion schädliche Add-ons nach, setzen PHP-Webshells mit unterschiedlichen Komplexitätsgraden ein und tarnen diese teils als Plugins. Dadurch entsteht eine Werkstatt für weitere Aktionen, etwa das Sammeln von Administratornamen und E-Mail-Adressen über REST-Endpunkte.
Besonders relevant für die Incident-Response ist, wie die Persistenz und das spätere „Zurückkehren“ technisch realisiert werden. In einer detaillierten Auswertung wurde beschrieben, dass Webshells unterhalb von /wp-content/cache/ abgelegt werden, wobei Dateinamen zufällig gewählt werden. Entscheidend ist dabei ein Zugriffsmuster: Der zufällige Name fungiert zugleich als Passwort, das Angreifer später über einen Variablenwert in der URL referenzieren. Wenn das Skript ohne korrektes Zugriffsmuster angesprochen wird, liefert es eine vorgetäuschte 404-Seite zurück. Zusätzlich prüft der Webshell-Code, welche PHP-Funktionen im Zielsystem verfügbar sind, etwa system(), passthru(), exec(), shell_exec(), popen() oder der Backtick-Operator, um die Ausführung von Befehlen flexibel an die Umgebung anzupassen.
Die beobachteten Abläufe zeigen außerdem einen klaren Vorbereitungs- und Validierungsteil. In einem separat beschriebenen Angriffsschema werden zwei Phasen unterschieden: Zuerst wird per SQL-Injection getestet, ob die jeweilige WordPress-Implementierung tatsächlich verwundbar ist. Erst danach wird die PHP-Webshell nachgeladen. In einigen Fällen kann der Kompromiss zusätzlich durch das Erstellen „roguer“ Administrator-Accounts verstärkt werden, wodurch die spätere Entfernung nur über Dateipflege und Plugin-Checks allein unvollständig bleiben kann. Das Muster umfasst damit typischerweise: Massenscans nach verwundbaren WordPress-Installationen, Missbrauch von Upload-Mechanismen, das Platzieren obfuszierter Payloads (teilweise als CMSmap-getarnte Module), das Abfragen von REST-Daten wie Admin-Kontaktinformationen, sowie Versuche auf Konfigurationsdaten über Local File Inclusion, beispielsweise gegen wp-config via admin-ajax.php.
Was Cloud- und Endpoint-Sicherheitsanbieter in diesem Zusammenhang betonen, ist die Kombination aus Tempo und „Blinden Flecken“ in der Detektion. In einer Zusammenstellung, wie Angriffe in Umgebungen ankommen, wird darauf hingewiesen, dass Security-Teams einen erheblichen Anteil erfolgreicher Angriffe nicht im Detail sehen, weil die Mehrzahl der Ereignisse unbemerkt durchrutscht. Gleichzeitig ist es genau diese unsichtbare Phase, die Simulationen und Tests gegen SIEM- und EDR-Regeln wertvoll machen: Wer die eigenen Detection-Logiken nur statisch prüft, übersieht häufig, dass zu seltene Signale oder zu späte Korrelationen den Angriff zwischen Monitoring-Punkten „durchreichen“ lassen. Für wp2shell heißt das konkret: nicht nur nach bekannten Signaturen suchen, sondern Logketten so prüfen, dass auch Uploads, verdächtige REST-Aufrufe und der spätere Zugriff auf PHP-Dateien im Cache-Ordner nachvollziehbar bleiben.
Für die operative Sofortmaßnahme ergibt sich daraus eine ziemlich klare Reihenfolge. WordPress-Administratoren sollten umgehend auf die gepatchten Versionen aktualisieren, die das Problem geschlossen haben: Version 7.0.2, 6.9.5 und 6.8.6. Danach empfehlen Sicherheitsanalysten, wp2shell-relevante Requests in Logs zu durchsuchen, installierte Plugins auf auffällige Ergänzungen zu prüfen und speziell auf neue PHP-Dateien im Cache-Umfeld sowie auf neu angelegte Administrator-Benutzer zu achten. In einem Live-Tracking von Patch-Raten wurde für einen Stichprobenumfang von 124.580 Websites ein Wert von 81,6% genannt, was zwar Fortschritt zeigt, aber zugleich bedeutet, dass ein relevanter Rest noch verwundbar sein kann. Auffällig ist zudem, dass in einer Folgebetrachtung auch der Entdeckungs- und Entwicklungsprozess eines funktionsfähigen Exploit-Setups mit KI-gestützten Tools beschrieben wurde; das verkürzt in der Praxis die Zeitspanne, in der aus einer Schwachstellenbeschreibung ein „produktiver“ Angriffspfad wird. Damit bleibt wp2shell vor allem ein Update- und Hygiene-Thema – mit dem Nebeneffekt, dass gute Monitoring-Abdeckung und schnelle Bereinigung plötzlich einen messbaren Unterschied machen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "wp2shell: kritische WordPress-Risiken ermöglichen persistentes Webshell-Deployment" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "wp2shell: kritische WordPress-Risiken ermöglichen persistentes Webshell-Deployment" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »wp2shell: kritische WordPress-Risiken ermöglichen persistentes Webshell-Deployment« bei Google Deutschland suchen, bei Bing oder Google News!