Mehrere IT-Sicherheitsunternehmen sowie das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnen davor, dass sie Angriffe auf die am vergangenen Freitag bekannt gewordene „wp2shell“-Sicherheitslücke in WordPress beobachten. Es handelt sich bei „wp2shell“ am Ende um eine Verkettung von Schwachstellen, die das Einschleusen von Code über eine API – durch die Verkettung ohne vorherige Authentifizierung – erlauben.
Das BSI hat eine Warnung veröffentlicht, laut der die Lücke die Stufe 3 (Orange) auf der Risikoskala nach Traffic-Light-Protokoll erreicht. Die Behörde weist darin auf die aktive Ausnutzung in freier Wildbahn hin. Das BSI schreibt, dass im Laufe des Wochenendes Proof-of-Concept-Code veröffentlicht worden sei, der die Ausnutzung der Schwachstellenkette und damit Angriffe ohne vorherige Anmeldung demonstriert. Das BSI stuft die Lückenverkettung abweichend von den einzelnen Risikoeinstufungen der jeweiligen Lücken (CVE-2026-60137, CVSS 9.1, Risiko „kritisch“; CVE-2026-63030, CVSS 7.5, Risiko „hoch“) mit einem CVSS-Wert von 9.8 als „kritisch“ ein.
Die deutsche IT-Sicherheitsbehörde weist zudem darauf hin, dass nur wenige Stunden nach der Veröffentlichung der Lücken erste PoCs auftauchten und kurz darauf bereits Berichte über ersten Missbrauch auftauchten. Das sei ein weiterer Hinweis auf die inzwischen deutlich verkürzte Zeit zum Missbrauch von Schwachstellen („Time-to-Exploit“).
Weitere IT-Sicherheitsfirmen beobachten Angriffe
Etwa die IT-Forscher von wiz.io berichten ebenfalls von beobachteten Angriffen auf die Schwachstellenkette. Die bösartigen Akteure verankern damit persistente Webshells, erklären die IT-Sicherheitsforscher. Sie nennen in ihrer Analyse auch Hinweise für Angriffe (Indicators of Compromise, IOC), die Admins beim Aufspüren von kompromittierten Instanzen helfen können. Cloudflare hat seiner Web-Application-Firewall (WAF) Regeln beigebracht, die vor dem Missbrauch der Sicherheitslücken schützen sollen. Noch am Freitag hat das Unternehmen die Regeln für Kunden mit kostenlosen Zugängen und Bezahl-Abos damit ausgestattet. Voraussetzung für die Wirksamkeit ist natürlich, dass der Traffic auf die eigenen Server durch die Cloudflare-WAF geleitet wird. Auch der IT-Sicherheitsforscher Maurice Fielenbach von Hexastrike berichtet auf Linkedin von beobachteten Angriffen.
IT-Verantwortliche müssen dringend aktiv werden. Wer bis jetzt die Aktualisierungen auf die fehlerbereinigten Versionen 7.1 Beta 2, 7.0.2, 6.9.5 sowie 6.8.6 oder neuere nicht vorgenommen hat, sollte das schleunigst nachholen. Da der aktive Missbrauch im Internet wenige Stunden nach Bekanntwerden der Lücke seinen Anfang nahm, sollten Admins ihre Instanzen als kompromittiert betrachten, sofern sie das Update nicht gleich am Freitag installiert haben. Sie sollten ihre Systeme in diesem Fall auf Einbruchsspuren untersuchen und gegebenenfalls bereinigen.
(dmk)
English (US) ·