WordPress-Sicherheitslücke: Patch 7.0.3 schließt XSS2Shell-Angriffskette
Veröffentlicht am: 07.08.2026 um 23:03 Uhr | Redaktion boerse-global.de
Eine schwerwiegende Sicherheitslücke im WordPress-Kernsystem gefährdet mehr als 500 Millionen Websites weltweit. Angreifer könnten darüber beliebigen Code auf betroffenen Servern ausführen. Die Entwickler haben bereits reagiert.
Dringender Patch in Version 7.0.3
Am 6. August veröffentlichten die WordPress-Entwickler das Sicherheitsupdate 7.0.3. Der Patch schließt die als CVE-2026-64638 registrierte Schwachstelle, die unter dem Namen „XSS2Shell" bekannt wurde. Die Aktualisierung steht für alle Versionen ab 4.7 zur Verfügung. Mit einem CVSS-Score von 8,9 gilt die Lücke als kritisch – bestätigte Angriffe in freier Wildbahn gibt es bislang allerdings nicht.
Insgesamt behebt das Wartungsrelease zwölf Sicherheitsprobleme. Neben der Hauptschwachstelle, einer Kombination aus Cross-Site-Scripting (XSS) und Remote Code Execution (RCE), schließt das Update vier weitere gespeicherte XSS-Lücken, drei Schwachstellen zur Informationsoffenlegung sowie Probleme bei Server-Side Request Forgery (SSRF), Privilegienausweitung in Multisite-Umgebungen, CSS-Injection und E-Mail-Bypass.
So funktioniert die XSS2Shell-Angriffskette
Die Schwachstelle hat ihren Ursprung in einer nicht authentifizierten XSS-Lücke auf dem WordPress-Login-Bildschirm. Sicherheitsanalysten entdeckten, dass dieser Einstiegspunkt zu einer PHP-Codeausführung auf dem Server ausgeweitet werden kann. Der Weg zur vollständigen Systemübernahme ist jedoch nicht vollautomatisiert – er erfordert in der Regel eine administrative Sitzung und ein gewisses Maß an Social Engineering.
Die Angriffstechnik basiert auf der Same-Origin Method Execution (SOME)-Methode, die der Forscher Paulos Yibelo 2022 dokumentierte. Über diesen Ansatz kann ein Angreifer nach erfolgreichem XSS-Auslöser auf der Login-Seite theoretisch die Kontrolle über den zugrunde liegenden Server erlangen.
Wer sich mit der Absicherung von IT-Infrastrukturen befasst, muss heute sowohl technische Lücken als auch neue gesetzliche Anforderungen im Blick behalten. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken proaktiv zu schließen und Ihr Unternehmen langfristig vor Angriffen zu schützen. IT-Sicherheits-Report für Unternehmen gratis herunterladen
KI entdeckt Sicherheitslücken in Rekordzeit
Entdeckt wurde die Schwachstelle von der Sicherheitsfirma pwn.ai. Die Forscher setzten ein Multi-Agenten-KI-System ein, das die Angriffskette identifizierte und reproduzierte – innerhalb von nur vier Tagen.
Ein weiteres Beispiel für automatisierte Schwachstellensuche: Ein KI-Modell fand eine SQL-Injection-Kette (CVE-2026-60137 und CVE-2026-63030) in etwa zehn Stunden bei minimalen Rechenkosten. Funktionierende Exploits entstanden dabei innerhalb von 90 Minuten nach Verfügbarkeit des ersten Patches. Das zeigt, wie sehr KI die Geschwindigkeit der Sicherheitsforschung beschleunigt.
Weitere Sicherheitsvorfälle im Sommer
Der WordPress-Patch reiht sich in eine Serie bedeutender Sicherheitsentwicklungen ein. Ende Juli nahm die US-Behörde CISA eine Command-Injection-Schwachstelle im Arista VeloCloud Orchestrator sowie eine Patch-Bypass-Lücke in FortiOS in ihren Katalog bekannter ausgenutzter Schwachstellen auf.
Neben technischen Schwachstellen stellen raffinierte Phishing-Methoden eine dauerhafte Bedrohung für die Sicherheit von Unternehmensdaten dar. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Manipulationstaktiken entlarven und eine effektive Hacker-Abwehr in vier Schritten etablieren. Kostenloses Anti-Phishing-Paket jetzt anfordern
Parallel dazu führten Strafverfolgungsbehörden Ende Juli die Zerschlagung von rund 200 Servern des Kratos-Phishing-Kits durch. Branchenbeobachter schätzen jedoch, dass etwa 1.800 Kopien des Kits weiterhin im Umlauf sind – sie versorgen monatlich tausende Phishing-Kampagnen gegen Unternehmens-Cloud-Dienste.
