Hacker nutzen derzeit zwei kritische Sicherheitslücken im WordPress-Core aus, um ungepatchte Installationen zu übernehmen. Nach Angaben mehrerer Sicherheitsfirmen zielen die Angriffe auf WordPress-Versionen 6.9.0–6.9.4 sowie 7.0.0–7.0.1 ab. Betroffen sind damit potenziell Millionen von Websites weltweit die nicht automatisch updaten.
Inzwischen warnen bereits mehre Organisationen zu den Schwachstellen, etwa das deutsche BSI mit der Meldung WID-SEC-2026-2409 oder die amerikanische CISA. Die beiden Schwachstellen sind im Detail CVE-2026-60137 und CVE-2026-63030. Das BSI stuft sie zusammen als kritisch ein mit dem CVSS-Wert 9.8. Einzeln werden sie noch anders bewertet. Vorhandene Plugins spielen dabei keine Rolle. Die Schwachstellen befinden sich direkt im WordPress Core.
Die Schwachstellenbewertungen von wp2shell
CVE-2026-60137 – SQL-Injection im Parameter author__not_in von WP_Query, CVSS-Basiswert: 5.9 (von WordPress-Community), 5.9 von der CISA. Die betroffenen Versionen: WordPress 6.8.0–6.8.5, 6.9.0–6.9.4, 7.0.0–7.0.1.
CVE-2026-63030 – REST-API „Batch-Route Confusion“ (Remote Code Execution, RCE), CVSS-Basiswert: 9.8 (von WordPress-Community), 9.8 von der CISA. Die betroffenen Versionen: WordPress 6.9.0–6.9.4, 7.0.0–7.0.1, 7.1 Beta 1.
In Kombination ermöglichen die beiden Lücken einem nicht-authentifizierten, entfernten Angreifer eine vollständige Remote-Code-Ausführung auf dem betroffenen Server („wp2shell“-Angriffskette).
Aktive Ausnutzung in freier Wildbahn
Sicherheitsfirmen wie Patchstack, Hexastrike und WatchTowr melden aktive Ausnutzung der Lücken in freier Wildbahn, und mehrere Proof-of-Concept-Exploits sind bereits öffentlich verfügbar. Das Risiko für ungepatchte Systeme gilt damit als akut.
WordPress hat korrigierte Versionen veröffentlicht, die beide Schwachstellen beheben. Wer nicht unbedingt auf das neueste Build updaten kann, hat aber Möglichkeiten auf andere Versionen auszuweichen. Hier eine Liste, welche die Möglichkeiten zeigen soll.
- WordPress 7.0.2 (behebt CVE-2026-60137 und CVE-2026-63030)
- WordPress 7.1 Beta 2 (behebt beide Schwachstellen)
- WordPress 6.9.5 (behebt beide Schwachstellen)
- WordPress 6.8.6 (behebt nur CVE-2026-60137)
Für viele Installationen hat WordPress zudem ein erzwungenes automatisches Update aktiviert, eine Maßnahme, die nur bei schwerwiegenden Bedrohungen ergriffen wird.
Betreiber öffentlicher WordPress-Installationen sollten umgehend auf die neuesten korrigierten Versionen aktualisieren und die Integrität ihrer Systeme prüfen, insbesondere wenn die Website nicht durch Web-Firewalls oder andere Schutzmechanismen gesichert ist. Organisationen mit NIS2- oder DORA-Compliance haben zudem eine klare Melde- und Handlungspflicht, sobald kritische Schwachstellen im eigenen Bestand identifiziert werden.
Mehr bei BSI.Bund.de
Über das Bundesamt für Sicherheit in der Informationstechnik (BSI) Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Cyber-Sicherheitsbehörde des Bundes und Gestalter einer sicheren Digitalisierung in Deutschland. Das Leitbild: Das BSI als die Cyber-Sicherheitsbehörde des Bundes gestaltet Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft.