WP2Shell WordPress-Core Schwachstellen werden aktiv ausgenutzt
Die Ausnutzung der neuen WordPress-Schwachstellen, die als CVE-2026-60137 und CVE-2026-63030 verfolgt werden, begann kurz nach deren Bekanntgabe.
Zwei neu gepatchte WordPress-Schwachstellen werden schon in der Praxis aktiv ausgenutzt, wobei die Angriffe kurz nach ihrem Bekanntwerden begannen.
Die Schwachstellen wurden als WP2Shell bezeichnet und werden offiziell unter CVE-2026-60137 und CVE-2026-63030 geführt.
Laut Searchlight Cyber, dessen Forscher die Lücken entdeckt haben, sind WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1 betroffen. Searchlight haben auch ein gratis Tool namens wp2shell.com veröffentlicht, mit dem man überprüfen kann, ob die eigene WordPress-Website angreifbar ist.
„Der Angriff hat keine Voraussetzungen und kann von einem anonymen Benutzer in einer Standard-WordPress-Installation ohne Plugins ausgenutzt werden“, warnte das Sicherheitsunternehmen.
WordPress kündigte am Freitag Patches mit der Veröffentlichung der Versionen 6.9.5 und 7.0.2 an. Eine Korrektur ist auch in WordPress 7.1 Beta 2 enthalten.
WordPress 6.8 ist nur von der ersten Sicherheitslücke betroffen. Version 6.8.6 mit einer Fehlerbehebung wurde veröffentlicht. Versionen von WordPress vor 6.8 sind nicht betroffen.
| WordPress version | Status |
|---|---|
| 6.8.5 und früher | Nicht betroffen |
| 6.9.0 – 6.9.4 | Betroffen |
| 7.0.0 – 7.0.1 | Betroffen |
| 7.1 beta (pre-release) | Betroffen |
Aufgrund des Schweregrads hat das WordPress.org-Team erzwungene Updates über das automatische Update-System für Websites aktiviert, auf denen betroffene Versionen laufen, teilten die WordPress-Entwickler mit.
Cloudflare hat ebenfalls Regeln eingeführt, um die Ausnutzung zu erkennen und Kunden zu schützen, deren Installationen nicht sofort gepatcht wurden.
CVE-2026-60137 ist eine SQL-Injection-Schwachstelle mit hohem Schweregrad, und CVE-2026-63030 ist eine kritische Schwachstelle zur Ausführung beliebigen Codes über das REST-API. Durch die Verkettung der beiden Lücken kann ein Angreifer eine nicht authentifizierte Remote-Code-Ausführung auf betroffenen WordPress-Websites erreichen. Bedrohungsakteure haben schon diese Schwachstellen ausgenutzt, um die Kontrolle über WordPress-Websites zu übernehmen.
Obwohl Searchlight Cyber keine Details veröffentlicht hat, um Missbrauch zu verhindern, wurden Proof-of-Concept-Exploits bereits von anderen öffentlich gemacht.
Die aktive Ausnutzung der WP2Shell-Schwachstellen wurde von mehreren Cybersicherheitsunternehmen bestätigt, darunter das WordPress-Sicherheitsunternehmen Patchstack.
Auch ich habe schon meinen ersten Opfern davon helfen können.
Website gehackt? Ich helfe dir.
Falls du den Verdacht hast, dass deine WordPress-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.
Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner WordPress Website schnell und zuverlässig wieder her.
