WordPress-Schwachstellen nach öffentlicher Bekanntgabe ausgenutzt – Forscher warnen vor weitreichenden Kompromittierungen

Angreifer begannen laut Sicherheitsforschern innerhalb weniger Stunden nach der Bekanntgabe, zwei neu gepatchte WordPress-Schwachstellen auszunutzen. In Kombination können die Schwachstellen eine nicht authentifizierte Remote-Code-Ausführung auf verwundbaren Installationen ermöglichen, darunter auch Standard-Websites ohne Plug-ins von Drittanbietern.

WordPress veröffentlichte die Sicherheitsupdates am späten Freitag, doch die Ausnutzung nahm Berichten zufolge kurz danach deutlich zu. Forscher beobachteten zunächst Angriffe, die auf das Extrahieren gehashter Zugangsdaten abzielten. Später folgten Versuche, Codeausführung zu erlangen, nachdem weitere technische Details und Proof-of-Concept-Material verfügbar geworden waren.

Funktionsweise der Schwachstellen

CVE-2026-60137 ist eine SQL-Injection-Schwachstelle mit mittlerem Schweregrad. CVE-2026-63030, von seinem Entdecker „wp2shell“ genannt, ist eine kritische Schwachstelle, die auf eine fehlerhafte Verarbeitung von Batch-Routen in der REST-API zurückgeht. Ein Validierungsproblem kann dazu führen, dass WordPress übermittelte Anfragen, Validierungsergebnisse und Request-Handler falsch zuordnet. Dadurch können Anfragen, die eigentlich abgewiesen werden sollten, als vertrauenswürdig behandelt werden.

Einzeln sind die Schwachstellen schwieriger auszunutzen. Gemeinsam können sie jedoch einen Weg von einer nicht authentifizierten Anfrage bis hin zur Remote-Code-Ausführung eröffnen. Dadurch entstehen Möglichkeiten, Zugangsdaten zu stehlen, Malware zu installieren oder die Kontrolle über eine Website zu übernehmen.

Ausnutzungsaktivitäten

Forscher von watchTowr erklärten, sie hätten Zehntausende Versuche gegen Honeypots registriert und mehr als 100 Backdoor-Administratorkonten identifiziert, die mit verschiedenen Versionen öffentlich verfügbarer Tools erstellt worden waren. Angreifer installierten außerdem bösartige Plug-ins, um den Zugriff aufrechtzuerhalten, Befehle auszuführen, Geheimnisse zu stehlen und weitere Payloads abzurufen. In einem beobachteten Fall versuchte ein Angreifer, den auf Golang basierenden Remote-Access-Trojaner Overlord RAT herunterzuladen.

VulnCheck berichtete, mehr als zwei Dutzend unterschiedliche Proof-of-Concept-Exploits gefunden zu haben, während auch PatchStack über aktive Ausnutzung berichtete. Forscher erklärten, die Verfügbarkeit von öffentlichem Code und die KI-gestützte Reproduktion von Schwachstellen hätten die Einstiegshürde für die Entwicklung von Angriffen gesenkt.

Betroffene Versionen und Reaktion

WordPress 6.9 ist betroffen; Version 6.9.5 behebt beide Schwachstellen. Für WordPress 6.8 ist Version 6.8.6 erforderlich, um die SQL-Injection-Schwachstelle zu beheben. WordPress 7.1 Beta 2 behebt die in Beta 1 vorhandenen Probleme; Versionen vor 6.8 sind nicht betroffen.

WordPress hat für betroffene Websites erzwungene Updates aktiviert. Administratoren sollten umgehend aktualisieren und auf unbekannte Administratorkonten, nicht autorisierte Plug-ins, verdächtige Dateien und andere Anzeichen einer Kompromittierung prüfen – auch wenn die Updates bereits installiert wurden.