WordPress schließt kritische Lücke, die Website-Übernahmen ermöglicht

WordPress hat am Freitag Notfall-Sicherheitsupdates veröffentlicht, um eine kritische Schwachstelle zur Remote-Code-Ausführung (RCE) vor der Authentifizierung zu schließen. Diese ermöglicht es einem anonymen Angreifer, mit einer einzigen HTTP-Anfrage die vollständige Kontrolle über jede Standard-WordPress-Installation zu erlangen.

Die Schwachstelle

Die am 17. Juli 2026 veröffentlichten Versionen 7.0.2 und 6.9.5 beheben den Fehler, der als CVE-2026-63030 geführt und von den Entdeckern "wp2shell" getauft wurde. Die Schwachstelle verknüpft eine Verwirrung bei REST-API-Batch-Anfragen mit SQL-Injection, um eine nicht authentifizierte RCE zu erreichen – die schwerwiegendste Klasse von Web-Schwachstellen. Es sind weder ein Login noch spezielle Konfigurationen oder Plugins erforderlich.nebula+3

Der Fehler betrifft WordPress 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Ein damit verbundenes, aber weniger kritisches SQL-Injection-Problem, CVE-2026-60137, betrifft Versionen ab 6.8 und wurde in 6.8.6 behoben. Versionen vor 6.8 sind von beiden Problemen nicht betroffen.aikido+2

Laut einem am Freitag veröffentlichten Blogbeitrag von Cloudflare ↘ 10.51% ist die RCE-Lücke ausnutzbar, "wenn kein persistenter Objekt-Cache verwendet wird", was auf die meisten Standard-WordPress-Installationen zutrifft. Das Sicherheitsteam von WordPress informierte Cloudflare vor der öffentlichen Bekanntgabe über die Schwachstellen, sodass das Unternehmen um 17:03 Uhr UTC WAF-Schutzmaßnahmen bereitstellen konnte.cloudflare

Gegenmaßnahmen und Reaktion

WordPress.org hat erzwungene automatische Updates für betroffene Websites aktiviert, wobei Installationen mit deaktivierten automatischen Updates oder versionskontrollierte Umgebungen das Update möglicherweise nicht automatisch erhalten. In der offiziellen Mitteilung von WordPress wurde das Problem als "schwerwiegendstes und prioritärstes Problem" der Organisation eingestuft.wordpress+2

Für Websites, die nicht sofort patchen können, wird Sicherheitsteams empfohlen, sowohl `/wp-json/batch/v1` als auch die Abfrage-String-Form `?rest_route=/batch/v1` auf WAF-Ebene zu blockieren. Das Blockieren nur des schönen Permalink-Pfads lässt den alternativen Pfad ungeschützt.nebula+1

Das Open-Source-Paradoxon

Da WordPress Open Source ist, macht das öffentliche Release-Archiv den Fix – und damit auch den Weg zum Fehler – gleichzeitig für Verteidiger und Angreifer verfügbar. Zum Zeitpunkt der Veröffentlichung wurden keine Angriffe gemeldet, aber Sicherheitsforscher merkten an, dass bei RCE-Schwachstellen im Kern "Stunden mehr zählen als Tage". WordPress betreibt schätzungsweise 40 Prozent aller Websites, was das Zeitfenster zwischen der Verfügbarkeit des Patches und der breiten Anwendung zu einer Phase akuten Risikos für ungepatchte Installationen macht.nebula