wp2shell: Exploit-Chaining für nicht authentifizierte RCE in WordPress
Eine WordPress-Core-Sicherheitslücke, öffentlich bekannt als wp2shell, kombiniert CVE-2026-63030 (CVSS 9.8) und CVE-2026-60137 (CVSS 5.9) für Remote-Code-Ausführung (RCE) vor der Authentifizierung. Die Exploit-Kette betrifft WordPress 6.9.x vor Version 6.9.5 und 7.0.x vor Version 7.0.2. WordPress 6.8.x vor Version 6.8.6 ist ausschließlich von CVE-2026-60137 betroffen. Dutzende Proof-of-Concept-Exploits (PoC) wurden für die gesamte Exploit-Kette veröffentlicht [1], ebenso mehrere detaillierte technische Beschreibungen. Über die Ausnutzung in der Praxis wurde erstmals von Cybersicherheitsfirmen in großem Umfang berichtet. Schließlich wurden beide CVEs am 21. Juli 2026 in die KEV-Liste der CISA aufgenommen [2][3]. Zahlreiche nationale CERT-Stellen haben weltweit Warnungen herausgegeben [4][5][6][7][8][9][10][11][12][13][14][15][16][17]. Da WordPress global schätzungsweise 500 Millionen Installationen hat, stellt wp2shell ein hohes Risiko dar.
Der OPENVAS ENTERPRISE FEED von Greenbone enthält Remote-Banner-Versionsprüfungen zur Identifizierung von CVE-2026-63030 und CVE-2026-60137 für Linux [1][2] und Windows [3][4]. OPENVAS SCAN mit einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED ist ein bewährter Weg, um einen umfassenden Einblick zu erhalten, wo in der IT-Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.
Eine globale Risikobewertung von wp2shell in WordPress Core
Die Gefährdung ist erheblich, da die Schwachstellen Standardinstallationen von WordPress Core betreffen und nicht optionale Erweiterungen oder Konfigurationen und es einem nicht authentifizierten Angreifer ermöglichen, RCE zu erlangen. Searchlight Cyber schätzt, dass mehr als 500 Millionen Websites WordPress nutzen. Zu den weiteren Risikosignalen zählen weit verbreitete Berichte über aktive Ausnutzung sowie zahlreiche öffentlich zugängliche PoCs.
Eine Zusammenfassung aktiver wp2shell-Exploit-Kampagnen
Über die aktive Ausnutzung von CVE-2026-60137 und CVE-2026-63030 wird mittlerweile von zahlreichen Cybersicherheitsfirmen und unabhängigen Sensorbetreibern ausführlich berichtet. Patchstack stufte beide Schwachstellen kurz nach ihrer Offenlegung erstmals als aktiv ausgenutzt ein [1]. Wordfence verzeichnete am 17. Juli 2026 Abfragen der WordPress-REST-API, gefolgt von einem eindeutigen SQL-Injection-Versuch 13 Minuten später [2]. Mehrere andere Cybersicherheitsunternehmen haben ebenfalls eine aktive Ausnutzung bestätigt [3][4].
Die beobachteten Kampagnen sind opportunistisch und zielen auf WordPress-Installationen in allen Branchen und geografischen Regionen ab. Die Aktivitäten konnten jedoch noch keinem bekannten Angreifer zugeordnet werden, und es wurden bislang keine Opfer öffentlich identifiziert. Zu den bestätigten Techniken gehören die unbefugte Erstellung von Administratorkonten, die Installation bösartiger Plugins, persistente Backdoors und Webshells, die Ermittlung von Benutzernamen sowie Versuche, Datenbank-Anmeldedaten, Authentifizierungsschlüssel und andere geheime Informationen aus der Datei wp-config.php zu erlangen.
Technische Details zu CVE-2026-60137 und CVE-2026-63030
Hier finden Sie kurze Details zu beiden Schwachstellen in der wp2shell-Exploit-Kette:
- CVE-2026-63030 (CVSS 9.8): Die Batch-API des WordPress Cores ermöglicht es, mehrere REST-Aufrufe in einer einzigen Anfrage zu bündeln. CVE-2026-63030 ist ein Problem mit der Routenverwechslung bei Batch-Endpunkten [CWE-436], das mit /wp-json/batch/v1 in Verbindung steht. Die Schwachstelle entsteht, wenn fehlgeschlagene Batch-Teilanfragen nicht an das Array $matches angehängt werden, was zu einem Index-Offset führt. Die Schwachstelle ermöglicht es einem Angreifer, einen böswilligen Batch von Anfragen zu senden, der eine fehlerhafte Anfrage mit geringen Berechtigungen enthält, die darauf ausgelegt ist, einen Array-Index-Offset zu erzeugen, gefolgt von einer Anfrage mit hohen Berechtigungen, die ohne ordnungsgemäße Autorisierung ausgeführt wird. Durch Ausnutzen von CVE-2026-63030 kann ein Angreifer nicht nur die Autorisierung umgehen, sondern auch andere interne WordPress-Prüfungen wie Anfragemethode, Route und Validierungsschema umgehen.
- CVE-2026-60137 (CVSS 5.9): Eine SQL-Injection-Sicherheitslücke, verursacht durch unsachgemäße Sanitisierung [CWE-89] des author_exclude-Parameters in WP_Query. Der Beitrags-Handler von WordPress ordnet den vom Angreifer kontrollierten Wert author_exclude dem Parameter WP_Query::author__not_in zu, der nur dann bereinigt wird, wenn er als Ganzzahl-Array übergeben wird. In Verbindung mit CVE-2026-63030 können Angreifer fehlerhaft formatierte Anfrageparameter bereitstellen, darunter einen Wert vom Typ Zeichenkette für author_exclude. Der nicht bereinigte Wert wird dann in eine SQL-Abfrage eingeschleust, wo er bösartigen SQL-Code ausführen kann.
So funktioniert die unauthentifizierte RCE-Kette von wp2shell
wp2shell wird als eine Exploit-Kette beschrieben, die CVE-2026-60137 und CVE-2026-63030 kombiniert. In der ersten Stufe wird CVE-2026-63030 ausgenutzt, um eine Route-Confusion-Sicherheitslücke im REST-API-Batch-Endpunkt [CWE-436] im WordPress-Core auszunutzen und nicht authentifizierte Befehle auszuführen. In der zweiten Phase wird diese Schwachstelle mit der SQL-Injection-Schwachstelle [CWE-89], die unter der Kennung CVE-2026-60137 erfasst ist, kombiniert, um die betroffenen WordPress-Installationen weiter zu beeinträchtigen.
Hier folgt eine allgemeine Beschreibung des wp2shell-Angriffsablaufs:
1. Ausnutzung von CVE-2026-63030
- Der Angreifer sendet eine bösartige Anfrage an den öffentlichen Endpunkt /wp-json/batch/v1 von WordPress. Die fehlerhaft formatierte Unteranfrage löst eine Diskrepanz im Request-Handler aus, wodurch privilegierte Anfragen ohne ordnungsgemäße Autorisierung ausgeführt werden können.
- Der Angreifer ruft den anfälligen Batch-Endpunkt rekursiv auf. Ein erster Desynchronisations-Exploit umgeht die Autorisierung, während ein zweiter Desynchronisations-Exploit die Parametervalidierung umgeht. Dadurch kann eine normalerweise nicht unterstützte GET-Anfrage den WordPress-posts-Handler mit ungültiger Eingabe erreichen.
2. Ausnutzung von CVE-2026-60137
- Der Beitrags-Handler ordnet den vom Angreifer kontrollierten Wert author_exclude dem Wert WP_Query::author__not_in zu. WordPress bereinigt diesen Wert, wenn er als Array übergeben wird, nicht jedoch, wenn er als String eintrifft, wodurch der Wert direkt in eine SQL-Abfrage eingeschleust werden kann. Der Angreifer kann einen Blind- oder UNION SELECT-SQL-Injection-Angriff nutzen, um sensible Informationen zu erlangen, die für weitere Angriffe verwendet werden können. Zu diesen Informationen gehören die Ermittlung des WordPress-Tabellenpräfixes, eine Administrator-Benutzer-ID, vorhandene Beitrags-IDs sowie generierte oEmbed-Cache-Zeilen-IDs.
- Eine UNION SELECT-SQL-Injection kann so gestaltet werden, dass legitime WP_Post-Objekte erstellt werden, die im WordPress-Objekt-Cache gespeichert werden. Diese Objekte bilden eine Kette legitimer WordPress-Verhaltensweisen, die die leseorientierte SQL-Injection in Datenbank-Schreibvorgänge und Änderungen am Kontrollfluss der Anwendung umwandeln. Durch die Ausnutzung dieser Schwachstelle kann ein Angreifer betrügerische Beiträge mit Webshells erstellen, um RCE mit den Berechtigungen des Webserver-Prozesses zu erreichen.
- Weitere Angriffsszenarien umfassen die Erstellung persistenter betrügerischer Administratorkonten und deren Nutzung zum Hochladen bösartiger Plugins, Theme-Komponenten oder Webshells, um RCE mit den Berechtigungen des Webserver-Prozesses zu erreichen.
Die beiden im wp2shell-Exploit verketteten CVEs, CVE-2026-63030 und CVE-2026-60137, jeweils mit CVSS-Schweregrad und EPSS-Ausnutzungswahrscheinlichkeit
Eine Routenverwechslung bei Batch-Endpunkten [CWE-436] in der Batch-API des WordPress Cores (/wp-json/batch/v1), verursacht dadurch, dass fehlgeschlagene Teilanfragen nicht an das Array $matches angehängt werden. Ein nicht authentifizierter Angreifer kann eine fehlerhafte Anfrage mit geringen Berechtigungen mit einer Anfrage mit hohen Berechtigungen verketten, um die Autorisierung und weitere interne Validierungsprüfungen zu umgehen.
Eine SQL-Injection-Sicherheitslücke [CWE-89], verursacht durch eine unsachgemäße Bereinigung des Parameters author_exclude, den WordPress auf WP_Query::author__not_in abbildet, aber nur bereinigt, wenn er als Integer-Array übergeben wird. Ein Wert vom Typ String ermöglicht es einem Angreifer, bösartige SQL-Befehle einzuschleusen, was in Kombination mit CVE-2026-63030 eine weitere Ausnutzung ermöglicht.
Betroffene Versionen und Abhilfemaßnahmen für wp2shell
CVE-2026-60137 betrifft WordPress 6.8.x vor 6.8.6, 6.9.x vor 6.9.5 sowie 7.0.x vor 7.0.2. CVE-2026-63030 betrifft WordPress 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2. WordPress 6.8.x ist nur für CVE-2026-60137 anfällig, nicht für die gesamte wp2shell-Kette. Die vollständige, nicht authentifizierte RCE-Sicherheitslücke wp2shell wird nur für die WordPress-Core-Versionen 6.9.x und 7.0.x gemeldet. Diese Unterscheidung ist für risikobasierte Abhilfemaßnahmen relevant, da die Ausnutzung von CVE-2026-60137 von der Anfälligkeit für CVE-2026-63030 abhängt.
Die einzige beschriebene Abhilfemaßnahme besteht darin, den WordPress-Core auf eine behobene Version zu aktualisieren. Benutzer sollten betroffene Systeme auf 6.8.6, 6.9.5 oder 7.0.2 aktualisieren. Der OPENVAS ENTERPRISE FEED von Greenbone enthält Remote-Banner-Versionsprüfungen zur Erkennung von CVE-2026-63030 und CVE-2026-60137 für Linux [1][2] und Windows [3][4].
Zusammenfassung
wp2shell ist eine nicht authentifizierte RCE-Kette gegen den WordPress Core, die CVE-2026-63030 mit CVE-2026-60137 kombiniert. Das Risiko wird durch zahlreiche Berichte über Ausnutzungen noch verstärkt. Administratoren sollten sofort anfällige WordPress-Installationen identifizieren und diese auf die oben beschriebenen, gepatchten Versionen aktualisieren.
Der OPENVAS ENTERPRISE FEED von Greenbone enthält Remote-Banner-Versionsprüfungen zur Erkennung von CVE-2026-63030 und CVE-2026-60137 für Linux [1][2] sowie Windows [3][4]. OPENVAS SCAN mit einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED ist ein bewährter Weg, um einen umfassenden Einblick zu erhalten, wo in der IT-Infrastruktur Ihres Unternehmens Software-Schwachstellen bestehen.
Josephs Karriere im Bereich IT und Cybersicherheit ist von Vielfalt und Leidenschaft geprägt. Sie begann in den späten 1980er Jahren mit der Arbeit an einem IBM PS/2, der Montage von PCs und der Programmierung in C++.
Er studierte Computer- und Systemtechnik, Anthropologie und erwarb einen MBA mit Schwerpunkt Technologieprognose.
Josephs Fachgebiete umfassen Datenanalyse, Softwareentwicklung und insbesondere IT-Sicherheit in Unternehmen. Er ist Experte für Schwachstellenmanagement, Verschlüsselung und Penetrationstests.
