WordPress-0day-Kette wp2shell: Remote Code Execution ohne Plugins

Zwei kritische Schwachstellen in WordPress — CVE-2026-63030 und CVE-2026-60137 — werden von Angreifern aktiv in einer Kette ausgenutzt, die den Codenamen wp2shell erhalten hat. Die Kette ermöglicht es einem nicht authentifizierten Angreifer, Remote Code Execution (RCE) auf einer Standardinstallation von WordPress ohne Plugins zu erreichen, was zur vollständigen Kompromittierung der Website führt. Nach Angaben von Wiz verfügten zum Zeitpunkt der Veröffentlichung der CVE rund 60 % der Organisationen, die WordPress einsetzen, über mindestens eine verwundbare Instanz, und 25 % davon waren aus dem Internet erreichbar. Alle Administratoren von WordPress-Versionen 6.8 und höher müssen umgehend Patches einspielen und eine Prüfung auf Anzeichen einer Kompromittierung durchführen.

Technische Anatomie der wp2shell-Kette

Der Exploit kombiniert zwei Schwachstellen zu einer einzigen Angriffskette, die mit nur einer HTTP-Anfrage ausgeführt wird:

• CVE-2026-60137 — Einstiegspunkt. Nach Angaben der Forscher handelt es sich um einen Routing-Fehler (route confusion) im Batch-Endpoint der WordPress REST API. Er ermöglicht es, die Authentifizierung zu umgehen und interne Handler ohne Überprüfung der Zugriffsrechte aufzurufen. Die Schwachstelle ist seit WordPress 6.8 vorhanden.
• CVE-2026-63030 — SQL injection, die durch eine fehlerhafte Sanitization des Parameters author__not_in in WP_Query entsteht, wenn ungeprüfte Daten von einem Plugin oder Theme übergeben werden. Dies erlaubt es, die SQL-Abfrage zu modifizieren und unautorisierten Zugriff auf Daten zu erlangen. Die RCE-Komponente betrifft laut Angaben von Cloudflare Versionen ab WordPress 6.9 und funktioniert nur, wenn kein persistent object cache (persistent object cache) verwendet wird.

Die grundlegende Gefahr von wp2shell besteht darin, dass der Angriff keine Vorbedingungen erfordert: weder installierte Plugins noch eine spezielle Konfiguration oder Zugangsdaten. Verwundbar ist eine Standardinstallation von WordPress jeder Version, die seit Dezember 2025 veröffentlicht wurde. Technische Details des Exploits wurden aufgrund der kritischen Schwere des Problems bislang nicht offengelegt.

Bemerkenswert ist, dass die Exploit-Kette nach Angaben von Searchlight Cyber mithilfe des OpenAI-Modells GPT 5.6 Solin innerhalb von 10 Stunden Arbeit entdeckt wurde. Diese Behauptung stammt aus einer einzigen Quelle und ist nicht unabhängig bestätigt, wirft aber für sich genommen ernste Fragen zur Rolle generativer KI bei der Suche nach Zero-Day-Schwachstellen auf.

Umfang der Ausnutzung und Post-Exploitation-Aktivität

Mehrere Quellen bestätigen eine aktive Ausnutzung in freier Wildbahn. Laut der Telemetrie von KEVIntel stehen 13 eindeutige IP-Adressen aus der Schweiz, Deutschland, Großbritannien, Indonesien, Litauen, den Niederlanden und Singapur mit der Ausnutzung von CVE-2026-63030 in Verbindung. Forscher von watchTowr berichten von Zehntausenden Exploit-Versuchen, die ihre Honeypots nach der Veröffentlichung eines öffentlichen Exploits registriert haben.

Die Forscher von Wiz beobachteten nach erfolgreicher Ausnutzung folgende Aktionen der Angreifer:

• Upload bösartiger Plugins
• Auflistung von Benutzern und Sammlung von Namen und E-Mail-Adressen von Administratoren
• Local File Inclusion (LFI)-Angriffe zum Auslesen von Datenbank-Credentials und Authentifizierungsschlüsseln
• Zugriff auf das Admin-Panel mit erfolgreicher Authentifizierung
• Upload eines minimalen PHP-Web-Shells zur Ermöglichung von Remote Code Execution

Parallel dazu ist massenhaftes Scanning ohne anschließende Ausnutzung zu beobachten, was auf opportunistische Kampagnen zur Identifizierung verwundbarer Ziele neben legitimen Sicherheitsscans hinweist. Zum Zeitpunkt der Veröffentlichung hatten die Forscher von Wiz keine laterale Bewegung oder Datenexfiltration festgestellt, setzen ihr Monitoring jedoch fort.

Werkzeuge der Angreifer

Unter den eingesetzten Werkzeugen wurde ein 150 KB großer Web-Shell festgestellt, der als legitimes WordPress-Sicherheitsplugin mit dem Namen CMSmap getarnt ist. Nach vorliegenden Informationen handelt es sich dabei um eine vollwertige Angriffsplattform mit Unterstützung für Dateiverwaltung, Datenbankzugriff, Port-Scanning, Batch-Code-Injection und mehrere Module zur Privilegienerweiterung, einschließlich Ausnutzung von MySQL UDF. Es ist zu beachten, dass diese Angaben in den verfügbaren Materialien nicht durch eine direkte Primärquelle belegt sind.

Ebenfalls wurden Fälle der Bereitstellung gefälschter WordPress-Plugins zur Codeausführung und zum Nachladen weiterer Werkzeuge beobachtet. In mindestens einem Fall versuchte der Angreifer wiederholt, Overlord RAT zu installieren — einen Remote-Access-Trojaner, der in Go geschrieben ist.

Einschätzung der Auswirkungen

Das Ausmaß des potenziellen Schadens wird durch mehrere Faktoren bestimmt. WordPress ist nach wie vor das am weitesten verbreitete CMS der Welt, und die wp2shell-Kette erfordert weder Plugins noch besondere Einstellungen — verwundbar ist die Basisinstallation. Die von Wiz genannten 60 % der Organisationen mit verwundbaren Instanzen sollten mit einer Einschränkung interpretiert werden: Es handelt sich um die Telemetrie eines einzelnen Cloud-Anbieters, die möglicherweise nicht die Situation aller WordPress-Deployments widerspiegelt. Dennoch bleibt das Ausmaß des Problems auch unter dieser Prämisse erheblich.

Das bisherige Fehlen bestätigter Datenexfiltration sollte nicht beruhigen: Die Anlage von Backdoor-Administratoraccounts und die Installation von Web-Shells dienen der Persistenz und können später durch Erpressung, Defacement, Spam-Versand oder die Nutzung kompromittierter Server als Infrastruktur für weitere Angriffe monetarisiert werden.

Empfehlungen zur Reaktion

Die Reaktionspriorität ist sofortig. Empfohlene Maßnahmen:

1. Aktualisieren Sie WordPress auf die neueste Version mit Fixes. Wenn ein Update derzeit nicht möglich ist, aktivieren Sie den persistent object cache (persistent object cache), der laut Cloudflare den RCE-Vektor für CVE-2026-63030 blockiert.
2. Führen Sie auch nach dem Patch ein Audit durch. Prüfen Sie die Liste der Administratoren auf unbekannte Accounts. Überprüfen Sie die installierten Plugins auf verdächtige oder unbekannte Einträge, insbesondere mit dem Namen CMSmap oder untypischer Größe.
3. Überprüfen Sie das Dateisystem auf PHP-Dateien an ungewöhnlichen Speicherorten, insbesondere auf minimale Web-Shells und Dateien, die nach dem Veröffentlichungsdatum der Schwachstellen aufgetaucht sind.
4. Rotieren Sie Secrets: Wenn ein Kompromittierungsverdacht besteht, ändern Sie die Passwörter aller Administratoren, die WordPress-Authentifizierungsschlüssel (AUTH_KEY, SECURE_AUTH_KEY und andere in der wp-config.php) sowie die Datenbank-Credentials.
5. Prüfen Sie die Logs auf anomale Anfragen an die REST API, insbesondere an den Batch-Endpoint, sowie auf Anfragen mit dem Parameter author__not_in.

Die Tatsache der aktiven massenhaften Ausnutzung von wp2shell bei null Angriffs-Vorbedingungen macht diese Schwachstellenkette zu einer der gefährlichsten Bedrohungen für das WordPress-Ökosystem der letzten Jahre. Patchen und die Prüfung auf Anzeichen einer Kompromittierung sind keine sequentiellen, sondern parallele Aufgaben: Ein Update ohne Kontrolle auf bereits installierte Backdoors lässt den Angreifern den fortbestehenden Zugriff auf das System.