Der Webriese WordPressdas mehr als 40 % der Websites betreibt, steht vor einem schwerwiegenden Sicherheitsvorfall. Eine kritische Schwachstelle namens „wp2shell“ wurde direkt im Systemkernel identifiziert Content-Management. Diese von Forschern von Searchlight Cyber ​​​​entdeckte Sicherheitslücke ermöglicht es einem Angreifer, Code aus der Ferne auf einem Server auszuführen, ohne sich authentifizieren zu müssen, wodurch ein einfacher Besucher in einen potenziellen Administrator verwandelt wird.

Was ist dieser Angriff und warum ist er so gewaltig?

Besonders gefährlich ist der wp2shell-Angriff weil es keine Voraussetzungen erfordert. Ein Hacker benötigt weder ein Benutzerkonto noch ein Passwort noch das Vorhandensein eines anfälligen Plugins, um anzugreifen. Es muss lediglich eine speziell gestaltete Anfrage an die Zielseite gesendet werden, um diese Sicherheitslücke auszunutzen.. Im Gegensatz zu üblichen Warnungen kommt das Problem nicht von einer Drittanbieterkomponente, sondern vom Herzen der Plattform.

Dieser Verstoß ist kein Einzelfall; Es handelt sich um eine Ausbeutungskette, die zwei Schwächen vereint unterscheidbar. Die erste (CVE-2026-63030) sorgt für Verwirrung darüber, wie die WordPress-REST-API Massenanfragen verarbeitet. Die zweite (CVE-2026-60137) ist eine SQL-InjectionDadurch können schädliche Befehle in an die Datenbank gesendete Abfragen eingefügt werden. Aneinandergereiht öffnen sie eine klaffende Tür zur Übernahme der Kontrolle über das Gelände.

Welche WordPress-Versionen sind betroffen und wie sichern Sie Ihre Website?

Die von der gesamten Angriffskette betroffenen WordPress-Versionen sind die Zweige 6.9 (von 6.9.0 bis 6.9.4) und 7.0 (von 7.0.0 bis 7.0.1). Die Schwachstelle wurde daher mit der Ende 2025 veröffentlichten Version 6.9 eingeführt. Angesichts des Ernstes der LageDas Entwicklungsteam reagierte umgehend mit der Veröffentlichung von Notfallkorrekturen.

Die effektivste Lösung ist ein sofortiges Update seine Website auf die Versionen 6.9.5 oder 7.0.2. Um den Schutz des Ökosystems zu beschleunigen, hat WordPress sogar sein System für erzwungene automatische Updates aktivierteine außergewöhnliche Maßnahme. Wenn ein Update nicht möglich ist, vorübergehende Maßnahmen existieren, wie beispielsweise das Blockieren des anonymen Zugriffs auf die REST-API über eine Anwendungs-Firewall (WAF).

Wie reagiert das Ökosystem und welche Tools stehen zur Verfügung?

Reaktionsfähigkeit war wichtig. Zusätzlich zu Updates haben große Player wie Cloudflare Filterregeln implementiert, um Exploit-Versuche zu blockieren. Die Bedrohung ist jedoch real, da bereits Konzeptnachweise auf GitHub veröffentlicht wurden, die Millionen von Websites der Cyberkriminalität aussetzen Anbau.

Die ersten Angriffe Es dauerte nicht lange, bis man es bemerkte. Um Administratoren zu helfen, hat Searchlight Cyber ​​​​ein öffentliches Verifizierungstool veröffentlicht auf wp2shell.com. Sie müssen lediglich die Adresse Ihrer Website eingeben, um sofort herauszufinden, ob sie verfügbar ist. Es ist wichtig, manuell zu überprüfen, ob das Update angewendet wurde, da der automatische Mechanismus manchmal fehlschlagen kann.