Auf den Punkt: Ein Indexierungsfehler im REST-Batch-Endpunkt ermöglicht unauthentifizierten Angreifern die vollständige Kontrolle über WordPress-Installationen, erfordert aber sofortiges Patchen auf Version 6.9.5 oder 7.0.2.
WordPress-Installationen ab Version 6.9.0 sind von einer kritischen Lücke in der REST Batch API betroffen, die unauthentifizierte Ferncode-Ausführung ermöglicht. Die Lücke ist seit WordPress 6.9.5 und 7.0.2 behoben.
Die unter der Bezeichnung wp2shell bekannte Lücke (CVE-ID nicht genannt) betrifft WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Das Sicherheitsloch liegt im Core-Bestandteil REST API im Batch-Endpunkt „batch/v1″ und wurde erstmals von Adam Kues von Searchlight Cyber gemeldet.
Ein Indexierungsfehler bei der Anfrageverarbeitung führt dazu, dass Anfrageobjekte und ihre Berechtigungsprüfungen nicht mehr korrekt zugeordnet werden. Angreifer können dadurch eine speziell gestaltete Batch-Anfrage im falschen Autorisierungskontext verarbeiten lassen und beliebigen Code ausführen. Weil die REST Batch API standardmäßig aktiviert ist und im WordPress-Kern integriert ist, sind betroffene Installationen über die Endpunkte „/wp-json/batch/v1″ oder „/?rest_route=/batch/v1″ erreichbar — auch auf Systemen ohne URL-Rewriting-Regeln.
Das Sicherheitsforschungsteam von Hadrian hat die Ursache aus dem WordPress-Sicherheitspatch vom 17. Juli 2024 rekonstruiert. Wer die Lücke nutzt, erhält vollständige unauthentifizierte Ferncode-Ausführung auf dem Webserver, wodurch der Angreifer die Website und ihren Inhalt kontrolliert, auf die Datenbank zugreift und Benutzer-Anmeldedaten sowie persönliche Daten abzapfen kann.
Hadrian empfiehlt sofortige Aktualisierung auf WordPress 6.9.5 oder 7.0.2 und empfiehlt als Zwischenlösung, den Zugriff auf beide REST-Batch-API-Endpunkte auf Webserver- oder WAF-Ebene zu blockieren. CISOs sollten zudem alle WordPress-Installationen inventarisieren (einschließlich Staging- und aufgegebener Kampagnen-Seiten) und überprüfen, ob ein ungehinderter REST-API-Zugriff wirklich erforderlich ist.
Quelle: www.csoonline.com · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.