WordPress wp2shell RCE-Warnung (CVE-2026-63030, CVE-2026-60137)

Überblick

WordPress betreibt über 40 % aller Websites im Internet und ist damit das am weitesten verbreitete Content-Management-System der Welt. Von persönlichen Blogs über Fortune-500-Unternehmensseiten bis hin zu Regierungsportalen und E-Commerce-Plattformen, WordPress bildet einen massiven Anteil der Web-Infrastruktur. Wenn eine kritische Schwachstelle WordPress Core betrifft, ist der Wirkungsradius beispiellos im CMS-Ökosystem.

Zwei kritische Schwachstellen mit den Kennungen CVE-2026-63030 und CVE-2026-60137, gemeinsam als wp2shell bekannt, ermöglichen eine Remote-Code-Ausführung (RCE) ohne Authentifizierung in WordPress Core. Entdeckt von Adam Kues bei Searchlight Cyber, erfordern diese Sicherheitslücken keine Vorbedingungen und können von einem anonymen Benutzer auf einer Standard-WordPress-Installation ausgenutzt werden. Mit geschätzten über 500 Millionen aktiven WordPress-Websites stellt diese Schwachstelle eine der größten Angriffsflächen für eine einzelne CVE der jüngeren Geschichte dar.

Dies ist eine Schwachstelle mit kritischem Schweregrad, die potenziell über 500 Millionen Websites betrifft. Wenn Sie WordPress betreiben, patchen Sie umgehend.

500M+potenziell betroffene Websites

von WordPress 6.9.0 bis 7.0.1

Betroffene Versionen

Branch Verwundbare Versionen Gepatchte Version 7.x 7.0.0, 7.0.1 7.0.2 6.x 6.9.0 bis 6.9.4 6.9.5

Versionen vor 6.9.0 sind nicht betroffen.

Technische Details

Die Schwachstelle nutzt den Batch-Endpoint der WordPress REST API (/wp-json/batch/v1) aus. Dieser Endpoint, der standardmäßig für nicht authentifizierte Benutzer zugänglich ist, kann missbraucht werden, um beliebigen Code auf dem zugrunde liegenden Server auszuführen.

⚠

Detaillierte technische Informationen zur Ausnutzung wurden vom Forscher zurückgehalten, um Verteidigern Zeit zum Patchen zu geben. In den kommenden Wochen ist mit dem Erscheinen von Proof-of-Concept-Exploits zu rechnen.

Wesentliche Merkmale dieser Schwachstelle:

Angriffsvektor: Netzwerk (ohne Authentifizierung, keine Benutzerinteraktion erforderlich)
Komplexität: Niedrig
Auswirkung: Vollständige Serverkompromittierung, beliebige Codeausführung
Voraussetzungen: Keine. Funktioniert auf Standard-WordPress-Installationen

Sofortige Behebung

Primäre Lösung: WordPress aktualisieren

Aktualisieren Sie umgehend auf eine der gepatchten Versionen:

WordPress 7.0.2 (für 7.x-Installationen)
WordPress 6.9.5 (für 6.x-Installationen)

Temporäre Gegenmaßnahmen

Falls ein sofortiges Update nicht möglich ist, setzen Sie eine oder mehrere der folgenden Maßnahmen um:

1. Verwundbaren Endpoint auf WAF-Ebene blockieren

Konfigurieren Sie Ihre Web Application Firewall oder Ihren Reverse Proxy, um Anfragen zu blockieren, die folgendem entsprechen:

Pfad: /wp-json/batch/v1
Query-Parameter: rest_route=/batch/v1

2. Nicht authentifizierten REST-API-Zugriff deaktivieren

Installieren Sie das Plugin „Disable WP REST API", um den REST-API-Zugriff auf authentifizierte Benutzer zu beschränken.

3. Benutzerdefinierten Authentifizierungsfilter einsetzen

Fügen Sie ein leichtgewichtiges Plugin hinzu, das eine Authentifizierung für Batch-API-Anfragen erfordert. Die wp2shell-Hinweisseite bietet eine Referenzimplementierung.

✓

Temporäre Gegenmaßnahmen reduzieren die Angriffsfläche, ersetzen aber nicht das Einspielen des Patches. Aktualisieren Sie so schnell wie möglich.

Erkennung und Reaktion

Über das Patchen hinaus sollten Organisationen folgende Schritte unternehmen:

Webserver-Protokolle prüfen auf ungewöhnliche Anfragen an /wp-json/batch/v1, insbesondere aus unerwarteten Quellen
Nach Kompromittierungsindikatoren suchen wie unbekannte Admin-Konten, modifizierte Core-Dateien, nicht erkannte Plugins oder Web-Shells
Zugangsdaten rotieren für alle WordPress-Administratorkonten und Datenbankbenutzer bei Verdacht auf Kompromittierung

Empfehlungen / Checkliste

Organisationen, die CYBERDEFENSE.AI nutzen, sind standardmäßig gegen nicht authentifizierte RCE-Angriffe geschützt, dank unserer integrierten Bedrohungserkennungs- und Präventionsfähigkeiten. Wir empfehlen dennoch dringend, WordPress auf die gepatchte Version zu aktualisieren, um die zugrunde liegende Schwachstelle vollständig zu beseitigen.

Hier ist die Checkliste zur Vermeidung von Problemen:

Jetzt patchen. Dies hat höchste Priorität. Das Fehlen von Authentifizierungsanforderungen macht diese Schwachstelle trivial im großen Maßstab ausnutzbar.
WordPress-Bestand prüfen. Viele Organisationen haben WordPress-Instanzen, die sie aus den Augen verloren haben. Nutzen Sie Asset-Discovery, um alle WordPress-Deployments zu identifizieren.
Defense-in-Depth umsetzen. WAF-Regeln, die den Batch-Endpoint blockieren, bieten eine zusätzliche Schutzschicht, auch nach dem Patchen.
Auf aktive Ausnutzung überwachen. Automatisierte Ausnutzung ist angesichts der niedrigen Einstiegshürde wahrscheinlich. Proaktives Monitoring ist unerlässlich.

Ist meine Website betroffen?

Wenn Sie WordPress 6.9.0 bis 6.9.4 oder WordPress 7.0.0 bis 7.0.1 verwenden, ist Ihre Website verwundbar. Überprüfen Sie Ihre WordPress-Version im Admin-Dashboard unter Dashboard > Aktualisierungen.

Kann mich eine WAF allein schützen?

Eine WAF-Regel, die den Batch-Endpoint blockiert, reduziert das Risiko erheblich, ist aber keine garantierte Lösung. Versierte Angreifer könnten Umgehungstechniken finden. Das Einspielen des Patches bleibt die einzige definitive Behebung.

Was tun, wenn ich bereits kompromittiert wurde?

Gehen Sie vom schlimmsten Fall aus und führen Sie eine vollständige Incident Response durch: Stellen Sie aus einem bekanntermaßen sauberen Backup wieder her, rotieren Sie alle Zugangsdaten, scannen Sie auf Backdoors und prüfen Sie die Protokolle auf Datenexfiltration.

Referenzen

CVE-2026-63030
CVE-2026-60137

Brauchen Sie Hilfe bei der Absicherung Ihrer WordPress-Infrastruktur?

CYBERDEFENSE.AI unterstützt Sie bei der Bewertung Ihrer Angriffsfläche, dem Patchen im großen Maßstab und der Erkennung von Kompromittierungen.

Kontaktieren Sie uns

Kritische WordPress-RCE-Schwachstelle: wp2shell (CVE-2026-63030, CVE-2026-60137)