Sicherheitsforscher haben eine gefährliche Kombination zweier Schwachstellen im Content-Management-System WordPress aufgedeckt. Erst das Zusammenspiel beider Sicherheitslücken eröffnet Angreifern die Möglichkeit, Schadcode ohne vorherige Anmeldung auf verwundbaren Websites auszuführen. Die Entwickler von WordPress haben inzwischen Sicherheitsupdates veröffentlicht und raten Administratoren zu einer sofortigen Aktualisierung.
Zwei Schwachstellen ergeben einen kritischen Angriffspfad
Im Mittelpunkt steht eine schwerwiegende SQL-Injection-Schwachstelle mit der Kennung CVE-2026-60137, die mit einem CVSS-Wert von 9,1 von 10 Punkten als kritisch eingestuft wird. Ursache ist eine unzureichende Validierung des Parameters author__not_in innerhalb der WordPress-Klasse WP_Query. Dadurch können Angreifer manipulierte Datenbankabfragen einschleusen und die Sicherheitsmechanismen des Systems umgehen.
Hinzu kommt eine zweite Sicherheitslücke mit der Kennung CVE-2026-63030, die von den Forschern von Searchlight Cyber entdeckt und unter dem Namen „WP2Shell“ veröffentlicht wurde. Diese Schwachstelle betrifft die REST-API von WordPress und wird mit einem CVSS-Wert von 7,5 als hohes Risiko eingestuft. Nach bisherigen Erkenntnissen steht insbesondere der API-Endpunkt /wp-json/batch/v1 im Mittelpunkt des Problems.
Entdecke die Welt von Apple: leistungsstarke Technik für Kreative, Unternehmer und den digitalen Alltag. Ob MacBook Pro, iPad oder Zubehör: Apple-Produkte stehen seit Jahren für hochwertige Verarbeitung, starke Performance und ein durchdachtes Ökosystem. Hochwertige Apple-Geräte rund um MacBook Pro, iPad und weiteres Apple-Zubehör findest du bei Amazon*.
Erst die Kombination macht den Angriff besonders gefährlich
Während beide Schwachstellen einzeln bereits ein Sicherheitsrisiko darstellen, wird ihre Kombination besonders kritisch. Durch die Verkettung beider Fehler können Angreifer unter bestimmten Voraussetzungen beliebigen Code auf anfälligen WordPress-Installationen ausführen, ohne sich zuvor authentifizieren zu müssen.
Solche Angriffsketten lassen sich vergleichsweise einfach automatisieren und eignen sich daher für groß angelegte Kampagnen gegen tausende oder sogar Millionen von Websites. Angesichts der weltweit enormen Verbreitung von WordPress könnte eine erfolgreiche Ausnutzung erhebliche Auswirkungen haben.
Sicherheitsupdates bereits verfügbar
Das WordPress-Projekt hat die Schwachstellen bereits geschlossen und entsprechende Sicherheitsupdates veröffentlicht. Betroffen sind aktuelle Installationen, während Versionen vor WordPress 6.8 nach Angaben der Entwickler nicht anfällig sind.
Administratoren sollten die Aktualisierung möglichst umgehend installieren. Erfahrungsgemäß analysieren Cyberkriminelle veröffentlichte Sicherheitspatches innerhalb kurzer Zeit, um daraus funktionierende Exploits für ungepatchte Systeme abzuleiten. Moderne KI-gestützte Werkzeuge könnten diesen Prozess zusätzlich beschleunigen.
Notfalllösung für Betreiber älterer Installationen
Für Administratoren, die ein sofortiges Update vorübergehend nicht durchführen können, haben die Entdecker der Schwachstelle auf der Website wp2shell.com eine Übergangslösung bereitgestellt. Dort steht neben einer Prüfmöglichkeit für die eigene WordPress-Installation auch ein kleines WordPress-Plugin zur Verfügung. Dieses versieht den betroffenen API-Endpunkt mit einer zusätzlichen Authentifizierung und soll das Risiko bis zur Installation der offiziellen Sicherheitsupdates reduzieren.
Sicherheitslücken im WordPress-Kern bleiben selten
WordPress ist mit großem Abstand das weltweit meistgenutzte Content-Management-System und verdankt seinen Erfolg vor allem der riesigen Auswahl an Themes und Erweiterungen. Sicherheitsprobleme entstehen deshalb häufig durch Plugins oder Themes von Drittanbietern. Schwachstellen im eigentlichen WordPress-Kern treten vergleichsweise selten auf – umso wichtiger ist es, Sicherheitsupdates nach ihrer Veröffentlichung zeitnah einzuspielen.
Entdecke die Welt von Apple: leistungsstarke Technik für Kreative, Unternehmer und den digitalen Alltag. Ob MacBook Pro, iPad oder Zubehör: Apple-Produkte stehen seit Jahren für hochwertige Verarbeitung, starke Performance und ein durchdachtes Ökosystem. Hochwertige Apple-Geräte rund um MacBook Pro, iPad und weiteres Apple-Zubehör findest du bei Amazon*.
Schreiben Sie einen Kommentar