LONDON (IT BOLTWISE) – Angreifer nutzen zwei neue WordPress-Sicherheitslücken, die zusammen eine unauthentifizierte Remote-Code-Ausführung (RCE) ermöglichen. Bereits kurz nach der Veröffentlichung von öffentlichen Exploits wurde das Geschehen durch Massenscans untermauert. Besonders kritisch: Der Angriff kann auch in einer Stock-Installation ohne Plugins funktionieren und führt nach der Kompromittierung häufig zu Web-Shells sowie dem Anlegen von Admin-Zugängen. Wie Verteidiger ihre Systeme priorisieren sollten, hängt dabei stark von Versionen und dem Einsatz des persistenten Objekt-Caches ab.
Mit den beiden Sicherheitslücken CVE-2026-63030 und CVE-2026-60137 ist die Angriffsfläche in WordPress zuletzt deutlich verschoben worden: Werden die Schwachstellen in der richtigen Reihenfolge kombiniert, lässt sich ein unauthentifizierter Angreifer von außen bis zur vollständigen Übernahme eines betroffenen Systems vorarbeiten. Die beiden Lücken tragen den Codenamen „wp2shell“ und sind deshalb so brisant, weil sie nicht nur eine einzelne Sicherheitsgrenze überspringen, sondern eine Kette aus Eingangsvektor und Folgeauswirkung bilden. Dabei berichten die beteiligten Beobachter, dass die Ausnutzung bereits mit öffentlich verfügbaren Exploit-Snippets startete und der Schaden anschließend durch automatisierte Suche nach verwundbaren Installationen skaliert wurde.
Technisch betrachtet besteht die Route aus einem SQL-Injection-Einstieg und einer danach folgenden Fähigkeit zur Remote-Code-Ausführung. Laut den beschriebenen Details hängt die RCE-Funktionalität von einer spezifischen Konstellation ab: RCE tritt demnach nur dann auf, wenn kein persistenter Object Cache verwendet wird. Für die Versionsabdeckung ergibt sich daraus ein klares Bild: Die SQL-Injection (CVE-2026-60137) soll ab Version 6.8 vorhanden sein, während die RCE-Auswirkung erst in Versionen ab 6.9 greift. Der Einstieg (CVE-2026-60137) wird als „route confusion“-Fehler im REST-API-Batch-Endpunkt eingeordnet, der Authentifizierung umgeht und interne Handler ohne die erwartete Berechtigungsprüfung ansprechbar macht. Zusätzlich spielt eine fehlerhafte Eingabe-Sanitization rund um den author__not_in-Parameter in WP_Query eine Rolle, weil so konstruiertes Input die Datenbankabfragen beeinflussen kann.
Damit sich aus dieser theoretischen Kette in der Praxis nicht nur einzelne Ziele, sondern breite Kampagnen ergeben, wurden offenbar auch die Operationsmuster früh sichtbar. Telemetriedaten werden mit Blick auf CVE-2026-63030 mit mehreren IP-Adressen verknüpft, darunter Quellen aus der Schweiz, Deutschland, dem Vereinigten Königreich, Indonesien, Litauen, den Niederlanden und Singapur. Auch der Ablauf nach der Ausnutzung folgt einem wiedererkennbaren Muster, das in heutigen Automationsketten typisch ist: erst Zugriff auf die Applikation, danach Persistenz, dann Erweiterung der Kontrolle. Genannt werden unter anderem das Hochladen eines bösartigen Plugins, das Auflisten von Benutzern inklusive dem Harvesting von Admin-Namen und E-Mail-Adressen sowie lokale Dateiabrufe (LFI), um Daten wie Datenbankzugänge oder Authentifizierungsschlüssel zu erreichen. Sobald sich Angreifer im Admin-Bereich bewegen können, wird häufig eine PHP-Web-Shell nachgeladen, um Remote-Kommandos dauerhaft und flexibel auszuführen.
Aus Sicht der Angriffsstrategie ist zudem nicht nur die „post-exploitation“-Phase entscheidend, sondern auch der Massen-Scan selbst. In den Beobachtungen heißt es, dass es neben erfolgreichen Kompromittierungen auch hochvolumige Scanning-Aktivität ohne nachfolgende Schritte gab. Das deutet auf opportunistische Kampagnen hin, die verwundbare WordPress-Instanzen identifizieren wollen – häufig parallel zu legitimen Security-Scans. Auffällig ist außerdem ein konkreter 150-KB-Webshell-Ansatz, der als WordPress-Sicherheitsplugin „getarnt“ wurde, um systematische Abwehrmaßnahmen zu verwässern. In den Beschreibungen wird dieses Setup als vollwertige Angriffsplattform charakterisiert: Dazu zählen Dateiverwaltung, Datenbankzugriff, Port-Scanning, Batch-Code-Injection und mehrere Privilege-Eskalationsmodule, inklusive MySQL-UDF-bezogener Techniken.
Für die Markt- und Risikoeinschätzung ist vor allem die Verbreitung in der Angriffslandschaft relevant. In einer Auswertung, die auf Daten zu WordPress-Installationen basiert, wird berichtet, dass zum Zeitpunkt der Veröffentlichung der CVEs 60% der untersuchten Organisationen mindestens eine verwundbare Instanz hatten, während 25% gleichzeitig einen verwundbaren Server ins Internet exponierten. Diese Zahlen sollen inzwischen sinken, weil Fixes ausgerollt und aktualisiert wurden – ein typisches Muster in solchen Wellen, bei denen die „Patch-Retention“ entscheidend ist: Systeme, die nur verzögert aktualisieren oder spezielle Cache- und Konfigurationsvarianten nutzen, bleiben länger erreichbar. In der Praxis verstärkt das auch den Effekt, dass nach Veröffentlichung öffentlicher Exploits schnell automatisierte Sprühangriffe einsetzen können; in den Beobachtungen werden dabei zehntausende Exploit-Versuche an Honeypots genannt.
Was Verteidiger jetzt konkret priorisieren sollten, lässt sich aus dem beschriebenen Ablauf ableiten. Zentral ist die Integrität der Benutzer- und Plugin-Konten: Da Berichten zufolge über 100 Backdoor-Admin-Konten angelegt wurden, reicht ein reines „Patching der CVEs“ nicht aus, solange nicht überprüft wird, ob neue Administrator-Accounts, manipulierte Plugins oder auffällige Dateien im Dateisystem vorhanden sind. Zusätzlich lohnt es sich, die Konfiguration in Bezug auf den persistenten Object Cache und das Zusammenspiel mit der betroffenen Version zu prüfen, weil genau diese Bedingung die RCE-Auswirkung steuert. Wer Systeme betreibt, sollte außerdem auf wiederkehrende Versuche achten, zusätzliche Komponenten nachzuinstallieren – in mindestens einem Fall wird die wiederholte Installation einer Golang-basierten Remote-Access-Trojaner-Variante genannt.
Damit bleibt eine nüchterne Schlussfolgerung: wp2shell zeigt, wie aus zwei scheinbar getrennten Schwächen eine komplette Übernahme-Chain werden kann – inklusive Persistenz über Web-Shells und Admin-Zugänge. Für die betroffenen Teams ist das weniger eine „Einmal-Eskalation“, sondern ein operatives Szenario: Erkennung, Bereinigung und Verifikation müssen zusammenlaufen, sonst bleibt die Wahrscheinlichkeit hoch, dass Nachinstallationen oder sekundäre Tools unbemerkt nachziehen. Entscheidend ist deshalb eine Kombination aus zeitnahen Updates, einer forensischen Sicht auf Konten und Artefakte sowie einem Scan auf kompromittierungsnahe Spuren, selbst wenn die Systeme bereits gepatcht wurden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "wp2shell: Zwei WordPress-Lücken ermöglichen unauthentifizierte RCE und Kompromittierung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "wp2shell: Zwei WordPress-Lücken ermöglichen unauthentifizierte RCE und Kompromittierung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »wp2shell: Zwei WordPress-Lücken ermöglichen unauthentifizierte RCE und Kompromittierung« bei Google Deutschland suchen, bei Bing oder Google News!