Eine Schwachstelle in WordPress kann im schlimmsten Fall zur vollständigen Übernahme des Servers führen. Betroffene müssen dafür allerdings selbst mitwirken und auf einen präparierten Link klicken. Die Entwickler haben die Lücke inzwischen geschlossen, und es gibt Hinweise, dass Angreifer sie bereits ausnutzen. WordPress 7.0.3 ist gegen die Attacken abgesichert.
Was hinter der Lücke steckt
Die als hoch eingestufte Schwachstelle trägt die Kennung CVE-2026-64638 und wird XSS2Shell genannt. Der Fehler steckt in den HTML-Filterfunktionen von WordPress selbst. Damit ein Angriff gelingt, muss ein Opfer mitspielen. Der Angreifer erstellt eine harmlos aussehende HTML-Seite mit einem versteckten Formular, das die WordPress-Login-Seite des Opfers adressiert. Über eine Phishing-Mail bringt er das Opfer dazu, die präparierte Seite zu öffnen.
Sobald das passiert, sendet ein Skript das Formular automatisch im Browser des Opfers ab, ganz ohne Klick oder Eingabe. Weil das Formular an die Datei wp-login.php der Ziel-Seite geht, landet ein präparierter Benutzername mit getarnten HTML-Schnipseln auf dem Server und wird dort in die Login-Fehlerseite eingebaut. Der Browser des Opfers zeigt anschließend diese echte Login-Seite samt eingeschleusten Elementen an. Da alles im Ursprung der echten WordPress-Seite abläuft, wird der Schadcode mit den Rechten und Cookies des Opfers ausgeführt.
Vom Cross-Site-Scripting zur Serverübernahme
Die reine Codeausführung im Browser (Cross-Site-Scripting) funktioniert bei jedem Opfer, unabhängig von dessen Rechten. Kritisch wird es, wenn das Opfer als Administrator angemeldet ist. Dann kann der Angreifer über einen zusätzlichen Trick automatisch einen API-Zugangstoken abgreifen und darüber im nächsten Schritt eigenen PHP-Code auf den Server hochladen und ausführen. Ab diesem Punkt gilt die WordPress-Instanz als vollständig kompromittiert. Wenn du WordPress betreibst, solltest du daher zügig auf Version 7.0.3 aktualisieren, gerade weil bereits Ausnutzungsversuche beobachtet wurden.