Auf den Punkt: CVE-2026-60137 und CVE-2026-63030 ermöglichen unauthentifizierten Remote Code Execution auf WordPress 6.9–7.0.1 ohne weitere Voraussetzungen, wenn beide Schwachstellen kombiniert werden.
WordPress weist zwei Sicherheitslücken auf, die in Kombination zu unauthentifizierter Code-Ausführung führen. Öffentliche Exploits sind bereits verfügbar, CERT.at empfiehlt unmittelbare Updates auf die Versionen 6.8.6, 6.9.5, 7.0.2 oder 7.1 Beta 2.
In WordPress existieren zwei unterschiedliche Sicherheitslücken, die in Kombination zur vollständigen Systemkompromittierung führen. Die erste Schwachstelle ist eine SQL-Injection (CVE-2026-60137) im Parameter „author__not_in“ der WP_Query-Funktion und betrifft WordPress-Versionen ab 6.8. Diese allein hat nach Angaben des Security Advisory nur mässiges Risiko.
Die kritische Ausnutzbarkeit entsteht ab WordPress 6.9 durch eine zweite Lücke in der REST-API (CVE-2026-63030, CVSS „Critical“), die sogenannte Batch-Route-Confusion. Diese ermöglicht es, die SQL-Injection auszunutzen und dabei beliebigen Code auf dem Server auszuführen (Remote Code Execution – RCE). Laut Searchlight Cyber ist diese Angriffskette auf Standardinstallationen ohne Plugins anwendbar und erfordert weder vorherige Authentifizierung noch besondere Konfigurationen. Auf GitHub sind bereits mehrere Proof-of-Concept-Exploits öffentlich verfügbar, darunter das Tool wp2shell, das die technische Eintrittsbarriere erheblich senkt.
Betroffene Versionen sind WordPress 6.8.0–6.8.5, 6.9.0–6.9.4, 7.0.0–7.0.1 sowie 7.1 Beta 1. WordPress.org hat korrigierte Versionen (6.8.6, 6.9.5, 7.0.2, 7.1 Beta 2) veröffentlicht und erzwungene Updates über das Auto-Update-System aktiviert. CERT.at empfiehlt die sofortige Aktualisierung.
Sollte ein unmittelbares Update nicht möglich sein, nennt Searchlight Cyber folgende Zwischenmassnahmen: Deaktivierung der REST-API für nicht authentifizierte Nutzer, Blockierung des Pfads „/wp-json/batch/v1″ und des Query-Parameters „rest_route=/batch/v1″ mittels Web Application Firewall (beide Muster müssen blockiert werden), oder Einsatz eines Plugins zur Authentifizierungsprüfung bei Batch-Requests. Diese Massnahmen können den regulären Betrieb beeinträchtigen und sind nur bis zur Verfügbarkeit des Updates gedacht.
Quelle: www.cert.at · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.