Kaum wenige Tage nach der Veröffentlichung der kritischen WordPress-Schwachstelle „wp2shell“ registrieren Sicherheitsforscher bereits erste Angriffe auf verwundbare Websites.
Mehrere IT-Sicherheitsunternehmen sowie das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnen davor, dass Cyberkriminelle die Sicherheitslücke inzwischen gezielt ausnutzen. Administratoren sollten ihre Systeme daher umgehend absichern.
Bei „wp2shell“ handelt es sich nicht um eine einzelne Schwachstelle, sondern um eine Kombination mehrerer Sicherheitslücken. Durch deren Verkettung können Angreifer Schadcode über eine API einschleusen, ohne sich zuvor am System authentifizieren zu müssen. Gerade diese Möglichkeit macht die Lücke besonders gefährlich, da kompromittierte Websites innerhalb kürzester Zeit vollständig übernommen werden können.
Das BSI hat deshalb eine Sicherheitswarnung der Stufe Orange (3 von 4) veröffentlicht und weist ausdrücklich auf aktive Angriffe im Internet hin. Nach Angaben der Behörde tauchte bereits wenige Stunden nach Bekanntwerden der Schwachstellenkette erster Proof-of-Concept-Code (PoC) auf, der die Ausnutzung demonstriert. Kurz darauf folgten bereits die ersten Berichte über tatsächliche Angriffe. Während die beiden zugrunde liegenden Schwachstellen CVE-2026-60137 (CVSS 9,1) und CVE-2026-63030 (CVSS 7,5) einzeln bewertet werden, stuft das BSI ihre Kombination mit einem CVSS-Wert von 9,8 als kritisch ein.
Die Behörde sieht darin zugleich ein weiteres Beispiel für die immer kürzere Zeitspanne zwischen der Veröffentlichung einer Sicherheitslücke und ihrer aktiven Ausnutzung. Diese sogenannte Time-to-Exploit schrumpft seit Jahren kontinuierlich, wodurch Administratoren immer weniger Zeit bleibt, Sicherheitsupdates einzuspielen oder Gegenmaßnahmen zu ergreifen.
Auch internationale Sicherheitsunternehmen bestätigen die laufenden Angriffe. Die Forscher von Wiz berichten, dass Angreifer die Schwachstellen nutzen, um dauerhaft sogenannte Webshells auf kompromittierten WordPress-Installationen zu platzieren. Solche Hintertüren ermöglichen es Kriminellen, jederzeit erneut auf den Server zuzugreifen und weitere Schadsoftware nachzuladen. Die Analyse von Wiz enthält zudem sogenannte Indicators of Compromise (IoCs), mit deren Hilfe Administratoren Hinweise auf bereits kompromittierte Systeme erkennen können.
Der CDN- und Sicherheitsanbieter Cloudflare hat ebenfalls reagiert und seine Web Application Firewall (WAF) um neue Schutzregeln erweitert. Diese wurden bereits am Freitag sowohl für Nutzer der kostenlosen Version als auch für zahlende Kunden ausgerollt. Voraussetzung für den Schutz ist allerdings, dass der gesamte Webverkehr über die Cloudflare-Infrastruktur geleitet wird. Auch der IT-Sicherheitsforscher Maurice Fielenbach von Hexastrike berichtet über beobachtete Angriffe und bestätigt damit, dass die Schwachstellen inzwischen aktiv von Cyberkriminellen ausgenutzt werden.
Für Betreiber von WordPress-Websites bedeutet die Entwicklung vor allem eines: Wer die verfügbaren Sicherheitsupdates oder empfohlenen Notfallmaßnahmen bislang noch nicht umgesetzt hat, sollte dies schnellstmöglich nachholen. Angesichts der bereits laufenden Angriffe zählt inzwischen jede Stunde.
Schreiben Sie einen Kommentar