Lücken in Wordpress: Millionen von Websites sind laufenden Angriffen ausgesetzt
Wer eine Wordpress-basierte Website betreibt, sollte diese zügig aktualisieren. Die Entwickler des beliebten Content-Management-Systems (CMS) haben kürzlich zwei kritische Sicherheitslücken gepatcht, die neuen Erkenntnissen zufolge bereits aktiv ausgenutzt werden. Viele Wordpress-Instanzen haben zwar schon Patches erhalten, laut einem Techcrunch-Bericht(öffnet im neuen Fenster) sollen aber bis zu 90 Millionen Websites noch angreifbar sein.
Bei den besagten Sicherheitslücken handelt es sich um CVE-2026-60137(öffnet im neuen Fenster) und CVE-2026-63030(öffnet im neuen Fenster). In Kombination ermöglichen sie es Angreifern im Rahmen eines wp2shell genannten Angriffs, eigenen Code einzuschleusen und auf anfälligen Instanzen zur Ausführung zu bringen.
Die Ursache für CVE-2026-60137 liegt laut Beschreibung in einer nicht ordnungsgemäßen Bereinigung des Parameters "author__not_in" in der Komponente WP_Query. CVE-2026-63030 basiert hingegen auf einem Route-Confusion-Bug in der Rest-API von Wordpress.
BSI schlägt Alarm
Zusammen können Angreifer die beiden Lücken ohne vorherige Authentifizierung für SQL-Injections ausnutzen – und das in der Standardkonfiguration von Wordpress und ganz unabhängig von irgendwelchen zusätzlich installierten Plug-ins, welche bekanntlich häufiger durch Sicherheitsprobleme auffallen.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat zum 18. Juli eine Warnung vor wp2shell sowie den zugrundeliegenden Sicherheitslücken herausgegeben(öffnet im neuen Fenster). Als anfällig gelten demnach die Wordpress-Versionen 6.8.0 bis 6.8.5 (nur CVE-2026-60137), 6.9.0 bis 6.9.4, 7.0.0 bis 7.0.1 sowie 7.1 beta. Patches wurden mit den Versionen 6.8.6, 6.9.5, 7.0.2 und 7.1 beta2 bereitgestellt(öffnet im neuen Fenster).
In einem Update zu seiner Meldung schriebt das BSI, dass in den letzten Tagen mehrere PoC-Exploits (Proof of Concept) im Netz aufgetaucht(öffnet im neuen Fenster) sind, mit denen sich die beiden Lücken ausnutzen lassen. Wie Securityweek unter Verweis auf mehrere Sicherheitsforscher berichtet(öffnet im neuen Fenster), wurden auch schon einige Ausnutzungsversuche beobachtet.
Bis zu 90 Millionen Instanzen noch angreifbar
Die meisten Wordpress-Instanzen wurden bereits automatisch auf die gepatchten Versionen aktualisiert. Admins sollten angesichts der laufenden Angriffe zeitnah prüfen, ob ihre Systeme bereits geschützt sind und gegebenenfalls nachhelfen.
Der Sicherheitsforscher Adam Kues, der wp2shell nach eigenen Angaben mithilfe einer KI entdeckt hat, hat ein Onlinetool bereitgestellt(öffnet im neuen Fenster), mit dem sich unkompliziert feststellen lässt, ob eine angegebene Website angreifbar ist. Unterhalb des Tools sind zudem schützende Workarounds zu finden, die Admins alternativ zu den Patches anwenden können.
Weltweit soll Wordpress aktuellen Statistiken zufolge(öffnet im neuen Fenster) als Grundlage für den Betrieb von über 600 Millionen Webportalen dienen. Sicherheitsexperten schätzen auf Basis von Hochrechnungen, dass etwa 15 Prozent davon, also knapp 90 Millionen Instanzen, noch für wp2shell anfällig sind. Obwohl ein Großteil aller Wordpress-Instanzen bereits gepatcht wurde, bleibt die Angriffsfläche damit weiterhin sehr groß.
Wir öffnen unsere neue Community für weitere Mitglieder! Möchtest du in konstruktiver und respektvoller Atmosphäre mit anderen IT-Experten über deine Themen sprechen? Sei dabei und melde dich an!
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.