WordPress mit RCE-Schwachstellen
- Sicherheitshinweis
© Adobe Stock
Remote Code Execution möglich
Die Kombination der beiden Schwachstellen CVE-2026-60137 und CVE-2026-63030 in WordPress ermöglicht Angreifenden Remote Code Execution (RCE). Die Kompromittierung der Systeme kann eine mögliche Folge sein. Erste aktive und erfolgreiche Ausnutzungen sind bereits bekannt geworden. Da PoCs (Proof of Concept) veröffentlicht sind, ist mit einer weiteren Zunahme von Ausnutzungen zu rechnen.
-
CVE-2026-60137 (EUVD-2026-45279) ermöglicht eine SQL Injection.
-
CVE-2026-63030 (EUVD-2026-45280) ermöglicht in Kombination mit oben genannter Lücke RCE.
Der CVSS-Score beider Schwachstellen wird unterschiedlich angegeben. Maßgebend ist in diesem Fall jedoch nicht der Score der einzelnen Schwachstellen, sondern die Kritikalität aus ihrer Kombination, die bei einem CVSS-Score von 9.8/10 liegt. Die beiden Lücken erhielten den gemeinsamen Namen wp2shell.
Betroffen sind folgende WordPress-Versionen:
-
WordPress 6.8.0 - 6.8.5 (nur von CVE-2026-60137 betroffen)
-
WordPress 6.9.0 - 6.9.4
-
WordPress 7.0.0 - 7.0.1
-
WordPress 7.1 beta
Anders als bei früheren WordPress-Sicherheitslücken sind hier nicht einzelne Plugins von einer Lücke betroffen, sondern das Kernprodukt selbst.
Dies berichten das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem Sicherheitshinweis und das Cybersicherheitsunternehmen Searchlight Cyber.
WordPress ist ein kostenloses, weit verbreitetes Content Management System auf Open-Source-Basis.
Empfehlungen
-
Um beide Schwachstellen zu schließen, installieren Sie je nach vorhandener Produktinstanz eine der folgenden Versionen:
-
6.9.5
-
7.0.2
-
7.1 beta2
-
-
Um die Schwachstelle CVE-2026-60137 zu schließen, installieren Sie Version 6.8.6.
-
Prüfen Sie Ihre Systeme auf eine mögliche Kompromittierung.
-
Dazu können Sie den Webseiten-Checker von Searchlight Cyber verwenden (siehe Link unten).
-
Beachten Sie dazu außerdem die Hinweise im unten verlinkten BSI-IT-Sicherheitshinweis.
-