Zwei neu gepatchte WordPress-Schwachstellen werden schon in der Praxis aktiv ausgenutzt, wobei die Angriffe kurz nach ihrem Bekanntwerden begannen.

Die Schwachstellen wurden als WP2Shell bezeichnet und werden offiziell unter CVE-2026-60137 und CVE-2026-63030 geführt.

Laut Searchlight Cyber, dessen Forscher die Lücken entdeckt haben, sind WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1 betroffen. Searchlight haben auch ein gratis Tool namens wp2shell.com veröffentlicht, mit dem man überprüfen kann, ob die eigene WordPress-Website angreifbar ist.

„Der Angriff hat keine Voraussetzungen und kann von einem anonymen Benutzer in einer Standard-WordPress-Installation ohne Plugins ausgenutzt werden“, warnte das Sicherheitsunternehmen.

WordPress kündigte am Freitag Patches mit der Veröffentlichung der Versionen 6.9.5 und 7.0.2 an. Eine Korrektur ist auch in WordPress 7.1 Beta 2 enthalten.

WordPress 6.8 ist nur von der ersten Sicherheitslücke betroffen. Version 6.8.6 mit einer Fehlerbehebung wurde veröffentlicht. Versionen von WordPress vor 6.8 sind nicht betroffen.

Aufgrund des Schweregrads hat das WordPress.org-Team erzwungene Updates über das automatische Update-System für Websites aktiviert, auf denen betroffene Versionen laufen, teilten die WordPress-Entwickler mit.

Cloudflare hat ebenfalls Regeln eingeführt, um die Ausnutzung zu erkennen und Kunden zu schützen, deren Installationen nicht sofort gepatcht wurden.

CVE-2026-60137 ist eine SQL-Injection-Schwachstelle mit hohem Schweregrad, und CVE-2026-63030 ist eine kritische Schwachstelle zur Ausführung beliebigen Codes über das REST-API. Durch die Verkettung der beiden Lücken kann ein Angreifer eine nicht authentifizierte Remote-Code-Ausführung auf betroffenen WordPress-Websites erreichen. Bedrohungsakteure haben schon diese Schwachstellen ausgenutzt, um die Kontrolle über WordPress-Websites zu übernehmen.

Obwohl Searchlight Cyber keine Details veröffentlicht hat, um Missbrauch zu verhindern, wurden Proof-of-Concept-Exploits bereits von anderen öffentlich gemacht.

Die aktive Ausnutzung der WP2Shell-Schwachstellen wurde von mehreren Cybersicherheitsunternehmen bestätigt, darunter das WordPress-Sicherheitsunternehmen Patchstack.

Auch ich habe schon meinen ersten Opfern davon helfen können.

Website gehackt? Ich helfe dir.

Falls du den Verdacht hast, dass deine WordPress-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner WordPress Website schnell und zuverlässig wieder her.

Der Beitrag WP2Shell WordPress-Core Schwachstellen werden aktiv ausgenutzt erschien zuerst auf Websicherheit Malware entfernen.

Am 3. Juni 2026 veröffentlichte der JCE-Entwickler die Versionen JCE Pro 2.9.99.5 sowie das passende JCE Free 2.9.99.5. Im Changelog findet sich ein einzelner Sicherheitshinweis – und es ist genau die Art, bei der man noch am selben Tag handeln sollte: Unzureichende Zugriffskontrollen ermöglichten es nicht authentifizierten Benutzern, Editor-Profile hochzuladen. Laut Entwickler konnte diese Schwachstelle ausgenutzt werden, um beliebige Dateien auf den Server zu laden – ein klassischer „arbitrary file upload“, der Angreifern im schlimmsten Fall vollständige Kontrolle über die betroffene Website verschaffen kann.

Am Montag, dem 8. Juni, folgte Version 2.9.99.6, die zusätzlich eine Härtungsfunktion bot. JCE Pro 2.9.99.6 ist die empfohlene Version für alle Joomla!-Websites.

Es war bereits das zweite JCE-Sicherheitsupdate innerhalb einer Woche. Das Release 2.9.99.4 vom 28. Mai schloss zwei Sicherheitslücken, die beide eine aktive Anmeldesitzung voraussetzten. Die neue Lücke hingegen nicht. Genau dieser Unterschied – authentifiziert vs. nicht authentifiziert – ist der Grund, warum dieses Update nicht „irgendwann diese Woche“ eingespielt werden sollte, sondern sofort.

Die Sicherheitslücke wird schon aktiv ausgenutzt, funktionierender Exploit-Code ist öffentlich und die Angriffe sind automatisiert.

Was ist zu tun?

Aktualisiere JCE auf allen betreuten Joomla-Websites umgehend auf Version 2.9.99.6 – egal ob Free oder Pro.

Version 2.9.99.6 benötigt PHP 7.4 und Joomla 3.10 oder höher. Für Websites, die diese Voraussetzungen noch nicht erfüllen, steht ein kostenloses Patch-Paket zur Verfügung, das die Sicherheitslücke in JCE 2.7.x, 2.8.x und 2.9.x behebt.

Prüfe anschließend die Serververzeichnisse auf unbekannte oder verdächtige Dateien, insbesondere in Upload-Ordnern wie /images, /media oder anderen öffentlich zugänglichen Verzeichnissen wie /tmp. Wurde deine Website bereits vor dem Update kompromittiert, reicht ein simples Update allein nicht aus – der Schadcode muss vollständig entfernt werden.

Website gehackt? Ich helfe dir.

Falls du den Verdacht hast, dass deine Joomla-Website bereits durch diese oder eine andere Sicherheitslücke kompromittiert wurde, stehe ich dir gerne zur Verfügung. Ich unterstütze dich bei der Analyse, Säuberung und Absicherung deiner Website – damit du wieder ruhig schlafen kannst.

Melde dich einfach bei mir – gemeinsam stellen wir die Sicherheit deiner Website schnell und zuverlässig wieder her.

Der Beitrag JCE-Editor-Sicherheitslücke: Sofortiger Handlungsbedarf für alle Joomla-Websites erschien zuerst auf Websicherheit Malware entfernen.

Wenn der Fehler nicht behoben wird, könnte er es einem Angreifer ermöglichen, unbefugten Administratorzugriff auf betroffene Stores zu erhalten, sagte das Unternehmen in einem Advisory vom 23. März 2023. Er betrifft die Versionen 4.8.0 bis 5.6.1.

Die Entdeckung und Meldung der Schwachstelle wird Michael Mazzolini vom Schweizer Unternehmen für Penetrationstests GoldNetwork zugeschrieben.

Automattic – das Unternehmen hinter WordPress und WooCommerce – veröffentlicht automatische / erzwungene Updates aller Websites, die dieses Plugin verwenden.

Neben der Aktualisierung auf die neueste Version wird Benutzern empfohlen, nach neu hinzugefügten Administratorbenutzern zu suchen und in diesem Fall alle Administratorkennwörter zu ändern und Zahlungsgateway- und WooCommerce-API-Schlüssel zu rotieren.

Der Beitrag Kritischer Fehler im WooCommerce Payments Plugin betrifft mehr als 500.000 WordPress-Sites erschien zuerst auf Websicherheit Malware entfernen.

Update: 03.08.2024. Balada Injector Hacker sind wieder verstärkt unterwegs, und viele Webseiten werden derzeit angegriffen. Oft ist Litespeed Cache schuld, dieses ist zu deaktivieren und dann alle Backdoors zu entfernen.

Update: 18.08.2023. Es gibt noch immer viele Angriffe mit Umleitungen – hauptsächlich wegen der gleichen Probleme mit unsicheren Plugins und fehlende Updates wie vor Monaten!

In ein paar Stunden können wir ihre Website wieder sauber und sicher machen, falls Sie auch betroffen sind!

In diesem Artikel wird untersucht, wie diese Umleitung erfolgt und welche Abweichungen möglich sind. Da die Weiterleitungen nicht immer bei jedem Besuch auftreten (und häufig absichtlich vor Administratoren verborgen sind!), bleibt diese Art von Hack möglicherweise lange Zeit unentdeckt.

Eines ist sicher:
Es müssen dringend Abhilfe-Maßnahmen ergriffen werden, damit

• keine Besucher auf der eigenen Website verloren gehen und
• Ihre Kunden nicht angegriffen werden.

Wenn Sie keine Zeit verlieren möchten, kontaktieren Sie mich einfach für sofortige Hilfe um €145 Fixed-preis.

Domainnamen, die aktiv in WordPress-Weiterleitungen verwendet werden

egocoattell.live

redfiretobind.com

bluefiretobind.com

rdntocdns.com

taskscompletedlists.com

recordsbluemountain.com

roselinetoday.com

bluelitetoday.com

redselectorpage.com

blueselectorpage.com

greenstepcherry.com

bluestepcherry.com

greenfastline.com

specialcraftbox.com

decentralappps.com

linestoget.com

stratosbody.com

quartzquester.top

viqtorywins.com

clickandanalytics.com

predictivdisplay.com

firstblackphase.com

sortyellowapples.com

descriptionscripts.com

scriptsplatform.com

cdn.statisticline.com

desirebluestock.com

actraffic.com

importraffic.com

trackersline.com

violetlovelines.com

specialblueitems.com

weatherpillatform.com

admarketlocation.com

travelfornamewalking.ga

transandfiestas.ga

helpmart.ga

jQueryNS.com

legendarytable.com

greengoplatform.com

transportgoline.com

drakefollow.com

confirmacionsb.com

classicpartnerships.com

specialadves.com

lovegreenpencils.ga

linetoadsactive.com

secondaryinformtrand.com

donatelloflowfirstly.ga

hostingcloud.racing

lowerthenskyactive.ga

lowerbeforwarden.ml

polimer.xyz

deliverygoodstrategies.com

gabriellalovecats.com

watch-video.net

bnmjjwinf292.com

name0fbestway.com

declarebusinessgroup.ga

sinistermousemove.art

url-partners.g2afse.com

buyittraffic.com

cuttraffic.com

puttraffic.com

importtraffic.com

decimalprovehour5.live

trendopportunityfollow.ga

examhome.net

saskmade.net

stat.trackstatisticsss.com

sferverification.com

poponclick.info

train.developfirstline.com

letsmakeparty3.ga

beforwardplay.com

belaterbewasthere.com

waterflowpick24.live

2.8mono.biz

dontstopthismusics.com

lobbydesires.com

blackentertainments.com

fox.trackstatisticsss.com

graizoah.com

asoulrox.com

ofgogoatan.com

stivenfernando.com

fast.destinyfernandi.com

trackstatisticsss.com

check.resolutiondestin.com

dest.collectfasttracks.com

digestcolect.com

verybeatifulantony.com

gotosecond2.com

forwardmytraffic.com

crazytds.club

WordPress-Spam-Weiterleitungen – Verstecke für die Malware

Grundsätzlich können automatische Weiterleitungen in jede vom WordPress-System geladene Datei eingefügt werden.
Darüber hinaus gibt es auch häufige Skriptinjektionen direkt in die Datenbank.
Es gibt verschiedene Verstecke für Spam-Weiterleitungen, die ich in den letzten Monaten gesehen habe:

• Javascript-Injektionen in PHP-Dateien (insbesondere in Theme- und Plugin-Dateien)
• Javascript-Dateien, die am Anfang aller JS-Dateien auf dem Server eingefügt werden
• Skriptinjektionen in Seiten und Artikeln (wp-posts Datenbanktabelle)
• Die URL der Website (wie in der Datenbanktabelle wp-options festgelegt) wurde in die Hacker-Domain geändert
• Geänderte .htaccess-Dateien (häufig in vielen Ordnern)
• Über Werbenetzwerke (gehackte Ad-Server)

Zusätzlich zu den Spam-Weiterleitungen werden immer mehrere Backdoors hinzugefügt, und häufig werden mehrere Administratorbenutzer zu WordPress hinzugefügt, um den Hackern den vollen Zugriff zu ermöglichen, selbst wenn die anfälligen Plugins gepatcht wurden.

Liste anfälliger Plugins

Die überwiegende Mehrheit dieser Angriffe zielt auf Sicherheitslücken ab, die vor Monaten oder sogar Jahren behoben wurden. Wenn Sie eines dieser Plugins auf Ihrer Website installiert haben, stellen Sie sicher, dass Sie das neueste sichere Update verwenden!

• Elementor Pro
• Duplicator
• Hybrid Composer
• Page Builder by SiteOrigin
• ThemeGrill Demo Importer
• NicDark plugins
• Profile Builder
• WP GDPR Compliance
• Coming Soon and Maintenance Mode
• Yellow Pencil Visual Theme Customizer
• Woocommerce User Email Verification
• WP Live Chat Support

Wie vermeide ich diese Probleme?

Wie bei den meisten WordPress-Angriffen besteht die Lösung darin, alle Plugins und den WordPress-Kern regelmäßig zu aktualisieren. Stellen Sie außerdem sicher, dass Sie nicht benötigte Plugins entfernen (und nicht nur deaktivieren).

So stellen Sie Ihre Website wieder her, wenn Sie infiziert wurde

Es gibt 2 Möglichkeiten, eine infizierte Website wiederherzustellen: mit einem Backup oder durch Entfernen aller Malware und Backdoors, durch die Hacker sonst immer wieder zurückkommen.

• Variante 1: Backup einspielen

Da diese Angriffe im Allgemeinen 100 oder sogar 1000 Dateien sowie die Datenbank infizieren, besteht die beste Wiederherstellungsmethode darin, das gesamte WordPress-Verzeichnis zu löschen (stellen Sie sicher, dass Ihre Sicherung in Ordnung ist, bevor Sie dies tun !!) und von einer sauberen Sicherung neu zu installieren. Stellen Sie dann auch Ihre Datenbank aus einer sauberen Sicherung wieder her.

• Variante 2: Entfernen aller Malware und Backdoors

Wenn dies nicht möglich ist, wenden Sie sich an einen Fachmann. Eigenständige Versuche sind wesentlich zeitintensiver und scheitern oft daran, dass man nicht alle aktuellen Tricks der Hacker kennt und nicht alle Backdoors findet.  Mit den richtigen Tools und Kenntnissen kann die Bereinigung in 2 – 3 Stunden abgeschlossen und Ihre Website wieder online gestellt werden!

Ich kann Ihre Website innerhalb weniger Stunden für nur € 145 (+ Mwst) sauber, sicher und wieder online haben – kontaktieren Sie mich jetzt für sofortige Hilfe!

Der Beitrag WordPress gehackt mit Umleitung erschien zuerst auf Websicherheit Malware entfernen.

Diese Sicherheitslücke ist als hochkritisch eingestuft (24 auf Skala bis 25) – ein Sicherheitsupdate steht schon bereit (auch für nicht mehr unterstützte v8.3 und v8.4 gibt es einen Patch).  Auch Drupal 6 und 8.2.x sind bedroht. Wer eine dieser veralteten Versionen einsetzt, muss auf eine aktuelle Version updaten, raten die Entwickler.

Update: 12. April
Laut einer Meldung des Drupal-Projekts laufen bereits (automatisierte) Angriffsversuche gegen anfällige Drupal-Installationen. Seiten, die nicht gepatcht wurden, können schon kompromittiert sein.

Schon gehackt?

Falls ihr schon gehackt geworden sein, können wir sofort helfen um alle Malware und Backdoors zu entfernen.

Einfach anrufen oder Mail schreiben!

Nähere Infos:

CERT.AT Warnung

Der Beitrag Kritische Zero-Day-Lücke in Drupal erschien zuerst auf Websicherheit Malware entfernen.