Thought Leadership
Sicherheitsforscher beobachten Angriffswellen auf WordPress über die Schwachstelle wp2shell. Der Exploit wurde mithilfe von KI entwickelt.
Sicherheitsforscher des SANS Technology Institute registrieren Angriffe auf Webseiten, die das Content-Management-System WordPress nutzen. Die Angreifer nutzen dabei eine kritische Schwachstelle mit der Bezeichnung wp2shell beziehungsweise CVE-2026-63030 aus. Der Angriff erfolgt über zwei aufeinanderfolgende HTTP-POST-Anfragen an den öffentlich erreichbaren Endpunkt /?rest_route=/batch/v1 der WordPress-REST-API. Durch eine unzureichende Überprüfung im Parameter author_exclude gelingt eine SQL-Injektion, über die Schadcode in Form einer Webshell im Verzeichnis /wp-content/cache/ abgelegt werden kann.
Johannes B. Ullrich vom SANS Technology Institute erläuterte die technische Vorgehensweise: „Der Exploit folgt Standard-SQL-Injection-Mustern. Er verwendet eine UNION-Anfrage, um eine zweite SELECT-Anweisung auszuführen“
Entwicklung der Schwachstelle wp2shell durch ein KI-Modell
Die Schwachstelle wurde im Rahmen eines Forschungsprojekts von Adam Kues, einem Sicherheitsforscher bei Searchlight Cyber, mithilfe des KI-Modells GPT-5.6 Sol identifiziert. Dem KI-Modell wurde die Aufgabe gestellt, eine Schwachstelle zur Remote-Code-Ausführung ohne vorherige Authentifizierung zu finden. Die Entwicklung des vollständigen Exploits dauerte etwas mehr als zehn Stunden bei geschätzten Token-Kosten von 25 US-Dollar.
Adam Kues bewertete das Ergebnis der Untersuchung folgendermaßen:
„WordPress gehört zu den am stärksten gehärteten Zielen überhaupt, und es gab in diesem Jahrzehnt keine bedeutenden Pre-Auth-Schwachstellen. Ich stelle keine allgemeinen Behauptungen auf, aber ich kann mit voller Überzeugung sagen, dass kein Sicherheitsforscher diese Exploit-Kette ohne KI in 10 Stunden hätte finden und fertigstellen können.“
Adam Kues, Sicherheitsforscher bei Searchlight Cyber
Empfohlene Gegenmaßnahmen und Bereinigung betroffener Systeme
Aufgrund der laufenden Angriffswellen auf ungepatchte Installationen raten Sicherheitsforscher Betreibern von WordPress-Webseiten zu einer umgehenden Aktualisierung des Systems. Zur Überprüfung und Bereinigung kompromittierter Instanzen sollten Administratoren das Verzeichnis /cache/ auf unerwartete PHP-Dateien prüfen sowie die Benutzerdatenbank auf neu angelegte Administrationskonten kontrollieren.
(red)
