Öffentliche Exploits für WordPress Pre-Authentication RCE-Kette veröffentlicht – 500 Millionen Websites betroffen

Sicherheitsforscher haben öffentliche Proof-of-Concept-Exploits für eine kritische Zwei-Fehler-Kette in WordPress Core veröffentlicht – mit dem Spitznamen wp2shell. Diese erlaubt es nicht authentifizierten Angreifern, Remote Code Execution auf jeder Standard-WordPress-Installation ohne Vorbedingungen zu erreichen. WordPress schätzt, dass mehr als 500 Millionen Websites auf seiner Plattform laufen – damit handelt es sich um eine der folgenreichsten Web-Schwachstellen dieses Jahres.

Die Fehlerkette wurde von Adam Kues von Searchlight Cyber entdeckt. Das Advisory des Unternehmens stellt klar: „Der Angriff hat keine Vorbedingungen und kann von einem anonymen Benutzer auf einer Standardinstallation von WordPress ohne Plugins ausgenutzt werden."

Zwei unabhängige Bugs, eine verheerende Kette

Der wp2shell-Angriff kombiniert zwei verschiedene Schwachstellen:

CVE-2026-63030 ist ein REST API Batch-Route-Confusion-Fehler, der in WordPress 6.9 eingeführt wurde. Der Bug erlaubt es einem Angreifer, die Art und Weise zu manipulieren, wie WordPress gebündelte API-Anfragen verarbeitet, und schafft so eine Basis für die zweite Stufe des Angriffs.

CVE-2026-60137 ist eine SQL-Injection-Schwachstelle im Parameter author__not_in der Core-Klasse WP_Query von WordPress. Allein betroffen sind WordPress 6.8 und höher – aber ohne den REST-API-Fehler aus Version 6.9 kann sie nicht zur Code-Ausführung hochgestuft werden. Zusammen bilden die beiden Bugs eine Kette, die dem Angreifer eine Shell auf dem Server verschafft.

Die vollständige RCE-Kette betrifft WordPress 6.9.0 bis 6.9.4 sowie WordPress 7.0.0 bis 7.0.1. Websites, die noch auf 6.8.x laufen, sind anfällig für SQL Injection, aber nicht für die vollständige RCE-Kette.

Exploitation im Feld bereits bestätigt

Nachdem Searchlight Cyber die Veröffentlichung technischer Details verzögerte, um Administratoren Zeit zum Patchen zu geben, erschienen mehrere Proof-of-Concept-Exploits auf GitHub. Einige extrahieren WordPress-Passwort-Hashes per SQL Injection und knacken ein Admin-Passwort, um ein bösartiges Plugin hochzuladen. Andere – eher im Sinne von Searchlight Cyber – behaupten, vollständige Pre-Authentication RCE ohne jegliche Zugangsdaten zu erreichen.

Die Sicherheitsfirma watchTowr bestätigte, dass sie nach der öffentlichen Veröffentlichung der Exploits bereits Exploitation im Feld beobachtet hat.

Patches, erzwungene Updates und WAF-Schutz

Das WordPress-Sicherheitsteam hat bereits gehandelt. WordPress 7.0.2 und 6.9.5 enthalten beide die Korrekturen, und das WordPress.org-Team hat erzwungene automatische Updates für alle unterstützten Installationen mit betroffenen Versionen aktiviert – das bedeutet, dass die meisten über wordpress.org verwalteten Websites ohne Admin-Eingriff aktualisiert werden.

Cloudflare hat außerdem Web Application Firewall-Regeln bereitgestellt, die Exploitation-Versuche für beide CVEs in allen Tarifen blockieren, einschließlich kostenloser Konten, die über die Plattform proxied werden. Das Unternehmen wies jedoch schnell darauf hin, dass WAF-Schutz „kein Ersatz für das Patchen" sei.

Was jetzt zu tun ist

Die vordringlichste Maßnahme ist klar: sofort auf WordPress 7.0.2 oder 6.9.5 aktualisieren. Für Websites, die nicht sofort aktualisieren können, empfiehlt Searchlight Cyber entweder ein Plugin zu installieren, das anonymen REST-API-Zugriff vollständig blockiert, oder die Routen /wp-json/batch/v1 und ?rest_route=/batch/v1 auf WAF- oder Webserver-Ebene zu blockieren. Das Unternehmen hat außerdem wp2shell.com gestartet, ein kostenloses Tool, mit dem Administratoren prüfen können, ob ihre Installation noch verwundbar ist.

Da öffentliche Exploits im Umlauf sind und aktive Exploitation bestätigt wurde, handelt es sich nicht um eine „innerhalb von 30 Tagen patchen"-Situation. WordPress-Administratoren, die noch nicht aktualisiert haben, sollten dies als zeitgleiche Incident-Response-Aufgabe behandeln.