Auf den Punkt: Eine Validierungsunzulänglichkeit in WordPresss REST Batch API ermöglicht Pre-Authentication-RCE mit voller Kontrolle über Website, Datenbank und Hosting-Umgebung.
Eine Schwachstelle in der REST Batch API des WordPress-Kerns erlaubt Angreifern, ohne Authentifizierung und ohne Plugins beliebigen Code auszuführen. Die Lücke betrifft die Versionen 6.9.0 bis 6.9.4 und 7.0.0 bis 7.0.1.
Die Schwachstelle, die von Adam Kues von Searchlight Cyber gemeldet wurde, trägt die Bezeichnung wp2shell und betrifft den Batch-Endpunkt „batch/v1″ des WordPress-Kerns. Technische Analysen von Hadrian zeigen, dass bei der Validierung eingehender Batch-Anfragen ein Indexierungs-Mismatch auftritt: Request-Objekte und ihre zugehörigen Berechtigungsprüfungen werden nicht korrekt einander zugeordnet. Ein böswilliger Akteur kann dadurch eine manipulierte Batch-Anfrage unter falschem Autorisierungskontext verarbeiten lassen und so beliebigen Code ausführen.
WordPress veröffentlichte den Sicherheitspatch am 17. Juli 2025. Die Anfälligkeit ist kritisch, da die REST Batch API standardmäßig aktiviert ist und über mehrere Pfade erreichbar bleibt – etwa über /wp-json/batch/v1 oder /?rest_route=/batch/v1 –, selbst wenn URL-Rewrite-Regeln nicht konfiguriert sind. Ein erfolgreicher Angriff gewährt dem Angreifer vollständige Kontrolle über die Website und ihren Inhalt, Zugriff auf die Datenbank sowie Anmeldedaten und persönliche Daten, die darin gespeichert sind, und bietet einen Einstiegspunkt in die umgebende Hosting-Infrastruktur.
Betroffene Administratoren sollten sofort auf WordPress 6.9.5 oder 7.0.2 aktualisieren und die erfolgreiche Installation überprüfen. Wo sofortige Patches nicht möglich sind, sollten beide REST-Batch-API-Endpunkte auf Web-Server- und WAF-Ebene für unbefugte Zugriffe gesperrt werden. Parallel ist es erforderlich, alle WordPress-Deployments zu inventarisieren – einschließlich Staging- und ungenutzter Campaign-Sites – und zu überprüfen, ob unberechtigter REST-API-Zugriff in der jeweiligen Umgebung tatsächlich erforderlich ist.
Quelle: www.csoonline.com · Erschienen 20. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.