Millionen Webseiten potenziell anfällig Angreifer richten persistente Webshells über WordPress-Schwachstellen ein

Anbieter zum Thema

FTAPI Software GmbH

Eine aktiv ausgenutzte Exploit-Kette namens „wp2shell“ kombiniert zwei WordPress-Schwachstellen und ermöglicht unauthentifizierte Code­ausführung. Webseiten-Betreiber sollten umgehend auf Version 7.0.2 aktualisieren und auf die folgenden IoCs achten.

Am 20. Juli veröffentlichte das britische Security-Unternehmen Searchlight Cyber den Bericht seines Analysten Adam Kues, der eine Exploit-Kette entdeckt habe, die zwei Schwachstellen in der WordPress-REST-API und dem Batch-Processing ausnutzt. Die Sicherheitslücken werden bereits aktiv ausgenutzt. Damit können Angreifer dauerhafte Webshells einrichten und schädliche Plugins auf betroffenen Servern installieren.

Plugins verteilen Schadcode über manipuliertes CDN-Skript

Supply-Chain-Angriff trifft 1,2 Millionen WordPress-Seiten

Pre-Auth Remote Code Execution

Bei der kritischen Schwachstelle EUVD-2026-45280 / CVE-2026-63030 (CVSS-Score 9.8, EPSS-Score^* 38.60) handelt es sich um einen Fehler bei der Routenzuordnung des REST-API-Batch-Endpunkts. Anfällig sind die WordPress-Versionen 6.9.x (vor 6.9.5) und 7.0.x (vor 7.0.2).

In den Versionen 6.8.x (vor 6.8.6), 6.9.x (vor 6.9.5) und 7.0.x (vor 7.0.2) wird aufgrund der Schwach­stelle EUVD-2026-45279 / CVE-2026-60137 (CVSS-Score 5.9, EPSS-Score 20.40) der Parameter „author__not_in“ von „WP_Query“ nicht ordnungsgemäß bereinigt. Dies kann eine SQL Injection ermöglichen, wenn ein Plugin oder Theme nicht vertrauenswürdige Eingaben an diesen Parameter übergibt. WordPress hat die von den beiden Sicherheitslücken betroffenen Versionen am 17. Juli 2026 mit Version 7.0.2 geschlossen.

Nutzt ein Akteur die beiden Sicherheitslücken in Kombination aus, könnten sie es ihm ermöglichen, ohne vorherige Authentifizierung beliebigen Code auf dem WordPress-Server auszuführen und die betroffene Installation vollständig zu kompromittieren. Beide Schwachstellen wurden von der CISA am 21. Juli in den Katalog der bekannten und ausgenutzten Sicherheitslücken aufgenommen. Die Aktivitäten im Zusammenhang mit der Exploit Chain werden unter dem Namen „wp2shell“ verfolgt.

Druck- und Authentifizierungsfunktionen betroffen

Remote Code Execution über kritische Samba-Schwachstellen

Technische Details und Schutzmaßnahmen

Das Cloud-Sicherheitsunternehmen Wiz veröffentlichte technische Einzelheiten zu beobachteten Angriffen, die wp2shell ausnutzen, und berichtete von folgenden Aktivitäten:

• Massenscans zur Suche nach anfälligen WordPress-Installationen

• Missbrauch der Upload-Funktion für WordPress-Plugins zur Installation schädlicher Add-ons

• Installation von PHP-Webshells, die von einfachen „One-Liner“-Backdoors bis hin zu funktionsreichen, verschleierten und als Plugins getarnten Shells reichten

• Abfragen der WordPress-REST-API zum Sammeln von Administrator-Benutzernamen und E-Mail-Adressen

• Versuche zur Einbindung lokaler Dateien mit Ziel auf die Datei „wp-config“ über „admin-ajax.php“, um Datenbankzugangsdaten und Authentifizierungsschlüssel zu erlangen

• Bereitstellung eines schädlichen Plugins, das einen REST-API-Endpunkt für die Remote-Befehlsausführung bereitstellt

• Erfolgreicher Zugriff auf WordPress-Administrationsbereiche

Nach der Entdeckung veröffentlichten unabhängige Sicherheitsforscher Proof of Concepts. So zum Beispiel Johannes B. Ullrich, Forschungsleiter am SANS Technology Institute, der beschreibt, dass die Ausnutzung zweistufig erfolge. Zunächst werde mittels SQL-Injection geprüft, ob die Schwachstelle tatsächlich vorliegt, bevor eine PHP-Webshell auf dem Server eingeschleust werde. Die Webshell werde im Verzeichnis „/wp-content/cache/“ unter einem zufällig generierten Dateinamen angelegt. Dieser Name diene zugleich als Passwort für den Zugriff über einen URL-Parameter. Ohne die korrekte Angabe dieses Parameters liefere die Seite lediglich eine gefälschte 404-Fehlermeldung aus.Der von Ullrich veröffentlichte Webshell-Code prüfe die Verfügbarkeit verschiedener PHP-Funktionen, um darüber Befehle auszuführen. Einige Angriffe würden auch das Anlegen unbefugter Adminkonten umfassen. Daher empfiehlt der Forscher, das Verzeichnis „/cache/“ zu überprüfen und auf neue Benutzerkonten zu achten.

Auch das auf WordPress-Sicherheit spezialisierte Unternehmen Defiant veröffentlichte einen Bericht zu den Auswirkungen des Vorfalls. Demnach wurden erste Sondierungsversuche im Zusammenhang mit wp2shell in der Nacht des 17. Juli registriert, kurz nachdem WordPress die Schwachstellen behoben hatte. Nur 13 Minuten später sei ein eindeutiger SQL-Injection-Angriffsversuch erfolgt. Administratoren von WordPress-Websites sollten umgehend auf die gepatchte Version 7.0.2 aktualisieren, die Protokolldateien auf Anfragen im Zusammenhang mit wp2shell durchsuchen, installierte Plugins prüfen sowie nach unbefugt hinzugefügten PHP-Dateien suchen. Und auch hier gilt der Tipp, neu angelegte Administratorenkonten zu prüfen.

Searchlight Cyber hat mit dem „wp2shell checker“ ein Webseite eingerichtet, über die WordPress-Nutzer feststellen können, ob ihre Instanz anfällig ist. Und auch Yutaka Sejiyama, Forscher bei Macnica, hat ein Dashboard erstellt, das die Patch-Rate zu wp2shell live verfolgt. Bisher liegt diese bei 81,6 Prozent, basierend auf einer Stichprobe von 124.580 untersuchten Websites. Weltweit nutzen rund 500 Millionen Webseiten WordPress.

WatchGuard Internet Security Report 2HJ. 2025

Deutschland Platz drei bei Office-Exploits weltweit

Mit 25 Dollar 500.000 Dollar verdienen?

In dem Blogbeitrag von Searchlight Cyber titelt Kues recht provokant „Exploit-Broker zahlen 500.000 US-Dollar für eine WordPress-RCE-Schwachstelle. Ich habe eine mit GPT-5.6 Sol Ultra und 25 US-Dollar gefunden.“ Während es zwar nach wie vor Hersteller gibt, die Sicherheits­for­schern für besonders brisante Exploits mehrere Hunderttausend Dollar zahlen, will Kues damit vermutlich darauf hinweisen, dass diese Summen, die oftmals im Rahmen von Bug-Bounty-Programmen ausbezahlt werden, künftig nicht mehr so hoch ausfallen dürften. Schließlich habe er wp2shell mithilfe des Large Language Models GPT-5.6 Sol Ultra von OpenAI gefunden. Bis er die Exploit-Kette entdeckte, habe er 25 Dollar und zehn Stunden an Zeit investiert.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Pwn2Own Berlin 2026

KI verkürzt das Patch-Fenster auf Stunden

(ID:50908695)