Kritische 'wp2shell' WordPress-Schwachstellen: Aktive Ausnutzung zur Webshell-Installation

Was ist passiert?

Aktuell werden zwei kritische Schwachstellen im WordPress Core, zusammenfassend als 'wp2shell' bezeichnet, aktiv von Angreifern ausgenutzt. Es handelt sich um CVE-2026-63030 und CVE-2026-60137. Diese Lücken ermöglichen es Angreifern, unauthentifizierte Remote Code Execution (RCE) auf betroffenen WordPress-Installationen durchzuführen. Die Ausnutzung führt zur Installation von Webshells und bösartigen Plugins, die den Angreifern dauerhaften Zugriff und Kontrolle über die kompromittierten Systeme verschaffen.

CVE-2026-60137 ist eine SQL Injection-Schwachstelle (CVSS 5.9, EPSS 4%) im author__not_in-Parameter von WP_Query, die auftritt, wenn ein Plugin oder Theme diesen Parameter nicht korrekt sanitisiert. CVE-2026-63030 (CVSS 9.8, EPSS 9%) ist ein Problem mit der REST API Batch Endpoint Route Confusion. Die Kombination dieser beiden Schwachstellen ermöglicht die kritische RCE.

Die aktive Ausnutzung hat zugenommen, nachdem öffentliche Exploits verfügbar wurden, was zu massiven Scans und Angriffen auf potenziell verwundbare WordPress-Instanzen führt. Millionen von WordPress-Sites sind potenziell betroffen.

Warum ist das relevant?

Die Relevanz dieser Schwachstellen ist extrem hoch, da sie eine unauthentifizierte Remote Code Execution ermöglichen. Dies bedeutet, dass Angreifer ohne vorherige Authentifizierung vollständige Kontrolle über die betroffenen WordPress-Server erlangen können. Die Installation von Webshells ist ein klares Indiz für eine vollständige Kompromittierung, die weitreichende Folgen haben kann, darunter Datenexfiltration, das Hosten von Malware, die Nutzung der Server für weitere Angriffe oder die vollständige Zerstörung von Daten. Die weite Verbreitung von WordPress macht diese Bedrohung zu einem kritischen Risiko für eine enorme Anzahl von Organisationen weltweit.

Betroffene Branchen und Technologien

Betroffene Branchen:

• Behörden (aufgrund der generellen Nutzung von WordPress für öffentliche Webpräsenzen)
• Alle Branchen, die WordPress für ihre Webseiten, Blogs oder E-Commerce-Plattformen nutzen.

Betroffene Technologien:

• WordPress Core (Versionen 6.8.x vor 6.8.6, 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2)
• Webserver-Infrastrukturen, die WordPress hosten (z.B. Apache, Nginx)
• Datenbanken, die von WordPress genutzt werden (z.B. MySQL/MariaDB)
• Plugins und Themes, die den author__not_in-Parameter von WP_Query unsicher verwenden.

Priorisierungssignale

• Aktive Ausnutzung (In-the-Wild Exploitation): Dies ist das stärkste Signal für sofortigen Handlungsbedarf. Angreifer nutzen die Lücken bereits aktiv aus.
• Verfügbarkeit öffentlicher Exploits: Die Veröffentlichung von Exploits beschleunigt die Angriffe und erhöht die Wahrscheinlichkeit einer Kompromittierung exponentiell.
• Kritische CVSS-Bewertung (9.8 für CVE-2026-63030): Zeigt das maximale Schadenspotenzial an – unauthentifizierte RCE.
• Hohe EPSS-Werte (9% für CVE-2026-63030, 4% für CVE-2026-60137): Obwohl nicht extrem hoch, signalisieren diese Werte eine erhöhte Wahrscheinlichkeit der Ausnutzung im Vergleich zu anderen Schwachstellen.
• Breite Angriffsfläche: Millionen von WordPress-Installationen sind potenziell verwundbar, was die Wahrscheinlichkeit eines Angriffs auf einzelne Instanzen erhöht.

Defensive Empfehlungen

1. Umgehende Patch-Installation: Aktualisieren Sie alle WordPress-Installationen auf die neuesten Versionen (WordPress 6.8.6, 6.9.5 oder 7.0.2), die die Schwachstellen beheben. Dies ist die wichtigste und dringendste Maßnahme.
2. Systemprüfung auf Kompromittierung: Führen Sie eine gründliche Überprüfung aller WordPress-Installationen auf Anzeichen einer Kompromittierung durch. Suchen Sie nach unbekannten Dateien (insbesondere .php-Dateien in ungewöhnlichen Verzeichnissen), verdächtigen Benutzerkonten, unerwarteten Änderungen an Core-Dateien oder Plugins und ungewöhnlichem Netzwerkverkehr.
3. Webshell-Erkennung: Implementieren und nutzen Sie Tools zur Erkennung von Webshells (z.B. Yara-Regeln, Dateisystem-Integritätsprüfungen) und überwachen Sie den Webserver auf verdächtige Dateiuploads oder -modifikationen.
4. Zugriffsrechte überprüfen: Stellen Sie sicher, dass Dateisystemrechte auf dem Webserver korrekt konfiguriert sind, um das Schreiben in kritische Verzeichnisse zu minimieren.
5. Regelmäßige Backups: Stellen Sie sicher, dass aktuelle und überprüfte Backups aller WordPress-Installationen vorhanden sind, um im Falle einer Kompromittierung eine schnelle Wiederherstellung zu ermöglichen.
6. Web Application Firewall (WAF): Nutzen Sie eine WAF, um bekannte Angriffsmuster zu blockieren und eine zusätzliche Schutzschicht zu bieten, auch wenn dies keine vollständige Lösung für gepatchte Schwachstellen ist.

Quellenhinweise

• BleepingComputer: Critical wp2shell WordPress flaws exploited to install webshells
• The Hacker News: WordPress wp2shell Exploitation Grows as Public Exploit Fuels Mass Scanning
• Dark Reading: 'WP2Shell' Opens Millions of WordPress Sites to Remote Takeover
• SecurityWeek: WP2Shell WordPress Vulnerabilities Exploited in the Wild