CVE-2026-63030 und CVE-2026-60137: Abwehr einer kritischen, nicht authentifizierten RCE-Kette in WordPress

• Forscher haben Details zu einer kritischen Schwachstellenkette veröffentlicht, die WordPress Core betrifft. Das Problem, das als CVE-2026-63030 und CVE-2026-60137 nachverfolgt wird, stellt angesichts der schieren Anzahl gefährdeter WordPress-Installationen weltweit ein erhebliches Risiko für die Webinfrastruktur dar.

• Die Kette beginnt mit einer nicht authentifizierten SQL-Injection, die über die WordPress-REST-Batch-API erreichbar ist und bei einer Standardinstallation zu einer vollständigen Remote-Code-Ausführung (Remote Code Execution, RCE) eskaliert werden kann.

• Obwohl bereits Upstream-Patches verfügbar sind, bleibt eine große Anzahl von Produktionsumgebungen weiterhin gefährdet und ungepatcht.

• Unsere bestehenden SQL-Injection-Schutzmaßnahmen der Adaptive Security Engine bieten bereits einen umfassenden Schutz für den Einstiegspunkt dieses Angriffs. Darüber hinaus haben wir eine neue Rapid Rule implementiert, um die Varianten dieser Schwachstellenkette zu erfassen.

Im Batch-Endpoint der WordPress-REST-API besteht eine Schwachstelle bei der Eingabevalidierung. Die Batch-API ist so konzipiert, dass Clients mehrere API-Vorgänge in einer einzigen Anfrage bündeln können. Aufgrund eines Fehlers bei der Zuordnung validierter Anfragen zu ihren Ausführungshandlern durch den Endpoint kann ein Angreifer bewirken, dass eine Anfrage zwar für eine Route validiert, aber für eine andere ausgeführt wird.

Diese fehlende Synchronisierung ermöglicht es Angreifern, die Parameterbereinigung zu umgehen, auf die der Rest der WordPress-REST-API angewiesen ist. In Kombination mit einem Beitragslisten-Parameter, der Nicht-Array-Eingaben nicht bereinigt, bevor sie die Datenbankebene erreichen, führt dies zu einer nicht authentifizierten SQL-Injection. Da der Batch-Endpunkt ohne Anmeldedaten erreichbar ist und keine Nutzerinteraktion erfordert, ist er für Angreifer sehr leicht zugänglich.

Der Angriff nutzt einen Fehler bei der Handler-Abstimmung des Batch-Endpoints aus, um einen nicht bereinigten Parameter in eine Datenbankabfrage einzufügen.

• SQL-Injection: Indem ein speziell gestalteter Anfrageinhalt an den Batch-Endpunkt übermittelt wird, kann ein Angreifer einen von ihm kontrollierten Wert ohne Auskommentieren an eine Abfrage weiterleiten, wodurch er bereits vor der Authentifizierung beliebige Datenbankinhalte extrahieren kann.

• Berechtigungseskalation für RCE: Anstatt gehashte Anmeldedaten zu knacken, wird die Injection über das Object Caching und das Nachbearbeitungsverhalten von WordPress verkettet, um den gespeicherten Zustand zu manipulieren, einen Administratorkontext vorzugeben und schließlich ein berechtigtes Konto bereitzustellen. Damit kann ein Angreifer dann ein schädliches Plugin installieren und beliebigen Code ausführen.

Da der anfängliche Einstiegspunkt eine nicht authentifizierte SQL-Injection ist, unterbricht die Blockierung des Injection-Versuchs die gesamte Kette, bevor eine Berechtigungseskation möglich ist.

Die Schwachstellenkette betrifft WordPress Core-Installationen, die die REST-Batch-API in einer Standardkonfiguration offenlegen. Administratoren sollten das neueste Sicherheitsupdate für WordPress Core installieren, sobald es verfügbar ist, und sicherstellen, dass automatische Hintergrund-Updates aktiviert sind.

Kunden von Akamai App & API Protector profitieren bereits vom Schutz der Adaptive Security Engine gegen SQL-Injections: Sie erkennt und blockiert die Injection, die als Grundlage für diese Angriffskette dient. Das bedeutet, dass Kunden mit aktiviertem SQL-Injection-Schutz schon jetzt über einen grundlegenden Schutz vor dieser Bedrohung verfügen.

Um gezielten gestaffelten Schutz vor den Varianten dieser Kette zu bieten, haben wir eine neue Rapid Rule bereitgestellt:

3000986 v1 – WordPress Unauthenticated RCE via wp2shell Attack Detected (CVE-2026-63030, CVE-2026-60137)

Es wurde eine neue Regel innerhalb von Akamai App & API Protector bereitgestellt, um unsere Kunden vor dieser WordPress-Bedrohung zu schützen und den bereits bestehenden Schutz vor SQL-Injections zu ergänzen.

Obwohl WAF-Regeln (Web Application Firewall) bekannte Exploit-Muster identifizieren und blockieren können, besteht die wirksamste Abwehr darin, die vom Anbieter bereitgestellten Patches umgehend zu installieren. Angesichts des Schweregrads dieses Problems und der großen Anzahl von WordPress-Installationen weltweit sollten Administratoren die Updates unverzüglich installieren.

Die Akamai Security Intelligence Group wird weiterhin sowohl für unsere Kunden als auch für die gesamte Sicherheitscommunity solche Bedrohungen überwachen, Berichte darüber erstellen und Maßnahmen zur Abwehr entwickeln. Besuchen Sie unsere Forschungs-Homepage und folgen Sie uns in den sozialen Medien, um über weitere Neuigkeiten von der Akamai Security Intelligence Group informiert zu werden.