Kritische Sicherheitslücken in WordPress - Updates verfügbar

20. Juli 2026

Beschreibung

In WordPress existieren zwei Sicherheitslücken. Eine SQL-Injection-Schwachstelle im Parameter „author__not_in“ von „WP_Query“ betrifft WordPress ab Version 6.8. Ab WordPress 6.9 lässt sich diese laut Advisory in Kombination mit einer Schwachstelle in der REST-API (Batch-Route-Confusion) zur Ausführung von beliebigem Code (Remote Code Execution) ausnutzen. Laut Searchlight Cyber ist diese Angriffskette ohne vorherige Authentifizierung und ohne weitere Voraussetzungen in einer Standardinstallation ohne Plugins nutzbar.

Auf GitHub sind mittlerweile mehrere öffentlich verfügbare Proof-of-Concept-Exploits für CVE-2026-63030 veröffentlicht worden. Damit ist der Aufwand für eine Ausnutzung deutlich reduziert; CERT.at rechnet mit Angriffen auf ungepatchte Systeme.

CVE-Nummer(n): CVE-2026-60137, CVE-2026-63030

CVSS Base Score: N/A (Einstufung im GitHub Security Advisory: CVE-2026-60137 „Moderate“, CVE-2026-63030 „Critical“)

Auswirkungen

In Kombination mit der Schwachstelle in der REST-API ist ab WordPress 6.9 die Ausführung von beliebigem Code auf dem betroffenen System, und damit eine vollständige Kompromittierung der Webseite und des darunterliegenden Systems möglich.

Betroffene Systeme

CVE-2026-60137 (SQL Injection):

  • WordPress 6.8.0 bis 6.8.5
  • WordPress 6.9.0 bis 6.9.4
  • WordPress 7.0.0 bis 7.0.1

CVE-2026-63030 (REST-API Batch-Route-Confusion, RCE):

  • WordPress 6.9.0 bis 6.9.4
  • WordPress 7.0.0 bis 7.0.1
  • WordPress 7.1 Beta 1

WordPress-Versionen vor 6.8 sind nicht betroffen.

Abhilfe

WordPress hat korrigierte Versionen veröffentlicht:

  • WordPress 7.0.2 (behebt beide Schwachstellen)
  • WordPress 6.9.5 (behebt beide Schwachstellen)
  • WordPress 6.8.6 (behebt CVE-2026-60137)
  • WordPress 7.1 Beta 2 (behebt beide Schwachstellen)

CERT.at empfiehlt, die Aktualisierung umgehend einzuspielen. Das WordPress.org-Team hat für betroffene Versionen erzwungene Updates über das Auto-Update-System aktiviert.

Sofern ein Update nicht unmittelbar möglich ist, nennt Searchlight Cyber folgende temporäre Maßnahmen: Deaktivierung der REST-API für nicht authentifizierte Benutzer:innen, Blockieren des Pfads „/wp-json/batch/v1“ sowie des Query-Parameters „rest_route=/batch/v1“ mittels Web Application Firewall (beide Muster müssen blockiert werden), oder Einsatz eines Plugins, das Batch-Requests an die REST-API nur für authentifizierte Benutzer:innen zulässt. Diese Maßnahmen können den regulären Betrieb der Webseite beeinträchtigen und sind nur als temporäre Notmaßnahme bis zum Update vorgesehen.

Hinweis

Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und dabei insbesondere auf automatische Updates zu setzen. Regelmäßige Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.

Informationsquelle(n):

WordPress 7.0.2 Release (Englisch)
https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

Facilitated SQL injection vulnerability in the author__not_in parameter of WP_Query (Englisch)
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf

REST API batch-route confusion and SQL injection issue leading to Remote Code Execution (Englisch)
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q

wp2shell: Pre Authentication RCE in WordPress Core (Englisch)
https://wp2shell.com/

New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code (Englisch)
https://thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw-lets.html