wp2shell: Kritische WordPress-RCE-Lücke – Das müssen Sie jetzt wissen

Identifikatoren

Der wp2shell-Angriff ist eine Zwei-Schwachstellen-Kette :

• CVE-2026-63030 – Eine Routenkonfusion im Batch-Endpunkt der REST-API. Kritisch eingestuft mit einem CVSS-Score von 9.8 . (Erste Berichte einer Quelle gaben 7.5 an, mehrere Sicherheitsanbieter revidierten dies jedoch auf 9.8 .)
• CVE-2026-60137 – Eine SQL-Injection ohne Authentifizierung im author__not_in-Parameter von WP_Query. Einstufung: hoher Schweregrad .

Betroffene Versionen

• WordPress 6.9.x: Alle Versionen vor 6.9.5 (6.9.0 bis 6.9.4)
• WordPress 7.0.x: Alle Versionen vor 7.0.2 (7.0.0 und 7.0.1)
• Der ältere Zweig 6.8.x erhielt ein Backport auf 6.8.6

Technische Details

Der wp2shell-Angriff verknüpft zwei Fehler :

1. CVE-2026-60137 ist eine SQL-Injection ohne Authentifizierung. Durch das Senden präparierter HTTP-Anfragen an den author__not_in-Parameter kann ein Angreifer schädlichen SQL-Code in die WordPress-Datenbank einschleusen – ohne Anmeldedaten.

2. CVE-2026-63030 ist ein Routenkonflikt im REST-API-Batch-Endpoint (/wp-json/batch/v1). Dieser Endpoint verarbeitet mehrere Unteranfragen in einem einzigen Aufruf. Eine Besonderheit beim Parsen führt dazu, dass zwei interne Arrays nicht mehr synchron laufen, sodass ein Angreifer Routenbeschränkungen umgehen und interne API-Aufrufe verketten kann, die normalerweise nicht erlaubt wären .

In Kombination nutzt der Angreifer den Batch-Endpoint, um verschachtelte Anfragen zu stellen, die die SQL-Injection ausnutzen. Dies eskaliert zu vollständiger Remotecodeausführung durch:

• Schreiben beliebiger Daten (z. B. einer PHP-Webshell) in das Dateisystem über den MySQL-Befehl INTO OUTFILE, oder
• Manipulation von WordPress-Optionen, die PHP ausführen .

Der Angriff erfordert keine Authentifizierung, keine Plugins und funktioniert auf einer Standard-WordPress-Installation . Seit dem 18. Juli 2026 ist ein öffentlicher Proof-of-Concept-Prüfer auf wp2shell.com verfügbar, und ein funktionierender PoC-Exploit kursiert .

Ein wichtiger Punkt: Ein persistenter Objekt-Cache (z. B. Redis oder Memcached) kann den Angriffspfad teilweise abschwächen oder verändern, beseitigt die zugrundeliegende Schwachstelle jedoch nicht .

Schutzmaßnahmen

1. Sofort aktualisieren – Aktualisieren Sie auf WordPress 6.9.5, 7.0.2 oder 6.8.6. Die meisten Seiten mit aktivierten Auto-Updates sollten das erzwungene Update bereits erhalten haben .
2. Version überprüfen – Gehen Sie zu Dashboard → Updates oder prüfen Sie wp-includes/version.php.
3. Wenn kein sofortiges Update möglich ist, setzen Sie einen virtuellen Patch oder eine WAF-Regel ein. Cloudflare hat WAF-Regeln veröffentlicht, die speziell den wp2shell-Angriffsvektor blockieren .
4. Auf Kompromittierungsindikatoren prüfen – Suchen Sie nach unerwarteten Dateien in wp-content/uploads/, unbekannten Admin-Benutzern oder ungewöhnlichen Datenbankeinträgen. Auch wenn keine Massenausnutzung bestätigt wurde, hat der öffentliche PoC wahrscheinlich bereits Scans ausgelöst.
5. Datenbank-Benutzerrechte überprüfen – Stellen Sie sicher, dass der WordPress-Datenbankbenutzer nicht über das FILE-Privileg verfügt (das INTO OUTFILE ermöglicht). Dies schränkt den RCE-Eskalationspfad ein.

Warum der Open-Source-Charakter von WordPress ein akutes Risiko darstellt

Auch wenn keine Ausnutzung in freier Wildbahn bestätigt wurde, bringt das Open-Source-Modell für wp2shell ein besonderes, akutes Risiko mit sich:

• Volle Quellcodetransparenz für Angreifer – Da WordPress Open Source ist, kann jeder die gepatchten Versionen herunterladen, den Code gegen die anfälligen Versionen differenzieren und den genauen Exploit-Pfad innerhalb von Stunden nach der Patch-Veröffentlichung nachvollziehen. Sicherheitsanbieter bestätigten, dass Source-Code-Diffs die anfällige Stelle sofort offenlegen .
• Verkürztes Zeitfenster für Verteidiger – Im Gegensatz zu proprietärer Software, bei der die Exploit-Entwicklung unabhängige Sicherheitsforschung erfordert, veröffentlicht ein Open-Source-Patch praktisch die Schwachstellendetails. Verteidiger müssen weltweit innerhalb von Stunden patchen, nicht Tagen.
• Große, vielfältige Angriffsfläche – WordPress betreibt rund 43 % aller Websites. Millionen von Installationen werden von Betreibern mit unterschiedlichster Sicherheitsreife betrieben. Viele Seiten sind vernachlässigt, laufen auf veralteten PHP-Versionen oder haben keine automatischen Updates – sie werden zu leichten Zielen, sobald Exploit-Code öffentlich ist .
• Niedrige Hürde zur Waffenbereitung – Der PoC-Prüfer und Exploit-Code wurden innerhalb von 24 Stunden nach dem Patch veröffentlicht . Jeder Angreifer mit grundlegenden Fähigkeiten kann den öffentlichen Code in eine Massenscan-Waffe umwandeln.
• Keine Authentifizierungsbarriere – Die gesamte Kette erfolgt ohne Authentifizierung und funktioniert gegen eine Standard-WordPress-Installation. Ein Angreifer benötigt weder gültige Anmeldedaten, ein anfälliges Plugin noch eine spezielle Konfiguration. Dies senkt den Aufwand für die Waffenbereitung der Schwachstelle drastisch .

Kurz gesagt: Das Open-Source-Modell bedeutet, dass der Patch selbst zum detaillierten Offenlegungsdokument wird, und die riesige, qualitativ unterschiedliche Installationsbasis garantiert eine lange Spur anfälliger Ziele – was einen Hochrisikozeitraum schafft, noch bevor eine „offizielle" Ausnutzung beobachtet wird.