BSI WordPress-Sicherheitslücke: Mehrere Schwachstellen gemeldet

Das BürgerCERT des BSI hat am 7. Oktober 2026 eine Warnung unter dem Titel „WordPress: Mehrere Schwachstellen" veröffentlicht. Laut der BürgerCERT-Meldung kann ein entfernter Angreifer die Lücken ausnutzen, um Cross-Site-Scripting durchzuführen, Sicherheitsmechanismen zu umgehen sowie Daten offenzulegen oder zu manipulieren. CVE-Nummern, CVSS-Werte oder betroffene Versionen nennt der Text nicht – und genau das erschwert die betriebliche Einordnung der BSI WordPress-Sicherheitslücke. Denn parallel ist eine deutlich konkretere Schwachstellenkette dokumentiert, die bereits aktiv ausgenutzt wird. WordPress ist das meistverbreitete Content-Management-System im Web; die Zielgruppe sind vor allem kleine und mittlere Betriebe, Agenturen und Redaktionen, die ihre Instanzen selbst betreiben.

BSI WordPress-Sicherheitslücke: Warnung ohne CVE und Versionsangaben

Wer die aktuelle Meldung mit früheren BSI-Hinweisen vergleicht, stutzt: Ein technischer Sicherheitshinweis aus dem Jahr 2019 trug denselben Titel „WordPress: Mehrere Schwachstellen" und beschrieb nahezu identische Auswirkungen. Das legt zwei Lesarten nahe – entweder wurde eine ältere Beschreibung unverändert wiederveröffentlicht, oder die aktuelle Warnung fasst mehrere Sachverhalte bewusst grob zusammen. Mit den vorliegenden Quellen lässt sich keine der beiden Varianten belegen; die Verwechslungsgefahr zwischen alten und neuen Warnungen ist bei identischen Titeln grundsätzlich hoch.

Für Admins ist die fehlende Versionierung das eigentliche Problem. Ohne Angabe, welche WordPress-Stände betroffen sind, lässt sich nicht priorisieren, welche Installation sofort gepatcht werden muss – und welche zunächst beobachtet werden kann. Klarheit liefert erst der Blick auf zwei getrennt dokumentierte Schwachstellenketten aus dem Sommer 2026.

wp2shell: CVE-2026-60137 und CVE-2026-63030 als RCE-Kette

Die am besten dokumentierte Kette läuft unter dem Namen „wp2shell". Das BSI beschreibt in einer eigenen Cybersicherheitswarnung zwei Schwachstellen, die in Kombination eine nicht-authentifizierte Remote-Code-Execution ermöglichen. Laut der technischen Analyse von Rapid7 ist CVE-2026-63030 ein Logikfehler im Batch-Prozessor der WordPress-REST-API (Endpunkt /wp-json/batch/v1); CVE-2026-60137 ist eine SQL-Injection. Einzeln betrachtet bleibt die Wirkung begrenzt – erst beide zusammen ergeben Codeausführung ohne vorherige Anmeldung.

Die britische Warnstelle NHS Digital bestätigt in ihrem Cyber Alert CC-4815, dass beide Schwachstellen gemeinsam eine unauthentifizierte RCE erlauben. Ein staatliches Zertifikat stützt damit die Einschätzung der Vendor-Analyse. Die öffentliche Offenlegung erfolgte am 17. Juli 2026.

Bei den Zahlen lohnt der genaue Blick: Rapid7 beziffert einen CVSS-Score mit 7.5. Die englischsprachige Berichterstattung von heise online nennt für CVE-2026-60137 dagegen einen Wert von 9.1 und stuft die Lücke als „critical" ein. Die Angaben beziehen sich auf unterschiedliche CVEs und lassen sich nicht direkt gegeneinander aufrechnen – wer nur einen Score liest, kann den Schweregrad falsch gewichten.

Für die Versionsmatrix gilt: Rapid7 stellt ausdrücklich klar, dass WordPress-Versionen vor 6.9 von CVE-2026-63030 nicht betroffen sind. Eine in früheren Entwürfen kursierende Angabe, auch ältere 6.8-Installationen seien gefährdet, ist damit nicht gedeckt und sollte nicht übernommen werden – sie widerspricht der Versionsmatrix der Fachquelle. Die exakte gepatchte Versionsnummer lässt sich aus den öffentlich verfügbaren Warnungen nicht sicher ableiten. Als Workaround nennt Rapid7 das Blockieren der Route /wp-json/batch/v1 auf WAF-Ebene – eine Maßnahme, die nur greift, solange der Batch-Endpunkt nicht ohnehin benötigt wird.

Aktive Ausnutzung: Was die CISA-KEV-Aufnahme bedeutet

wp2shell ist kein theoretisches Risiko. Am 20. Juli 2026 meldete das BSI laut eigener Warnung erste Proof-of-Concept-Exploits und Berichte über aktive Ausnutzung; am 21. Juli 2026 nahm die US-Behörde CISA beide CVEs in ihre Liste bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf. heise online berichtet ebenfalls über laufende Angriffe auf die Lücke.

Die KEV-Aufnahme ist für Betreiber das stärkste Signal: Sie bedeutet, dass Angreifer die Schwachstelle nicht nur kennen, sondern bereits einsetzen. Die kurzen Patch-Fristen, die US-Behörden für ihre eigenen Systeme setzen, gelten für öffentlich erreichbare WordPress-Instanzen zwar nicht direkt – sie verdeutlichen aber den Handlungsdruck. In der Praxis heißt das: nicht abwarten, bis die nächste BSI-Meldung Klarheit schafft.

Die offene Diskrepanz: XSS-Beschreibung trifft auf RCE-Kette

Zwischen der aktuellen BürgerCERT-Meldung und der dokumentierten wp2shell-Kette bleibt eine Lücke. Die Warnung nennt Cross-Site-Scripting und das Umgehen von Sicherheitsmechanismen – Aspekte, die klassisch auf Manipulation von Inhalten und Sitzungen zielen. Die nachweislich ausgenutzte Kette beschreibt dagegen vollständige Codeausführung. Ob es sich um zwei getrennte Sachverhalte handelt oder um eine unpräzise Beschreibung, lässt sich mit den vorliegenden Quellen nicht abschließend klären. Dieser Widerspruch sollte vor einer endgültigen Bewertung geprüft werden, statt ihn zugunsten einer der beiden Lesarten aufzulösen.

Was Betreiber jetzt tun sollten

Unabhängig von der offenen Zuordnung gilt: Wer eine WordPress-Instanz betreibt, sollte den Patch-Stand aktiv verifizieren und zeitnah aktualisieren. Das BSI führt die Kette in einer eigenen Cybersicherheitswarnung, CISA hat sie als ausgenutzt markiert. Für Systeme, deren Batch-Endpunkt nicht benötigt wird, ist der WAF-Block von /wp-json/batch/v1 eine belegte Übergangslösung. Zusätzlich lohnt der Blick auf Anzeichen einer Kompromittierung – etwa unbekannte Admin-Konten oder veränderte Inhalte.

Eine Entwarnung ist die unklare Zuordnung der BürgerCERT-Meldung jedenfalls nicht. Sie ist ein Anlass, den eigenen Patch-Stand nachzuweisen, statt ihn anzunehmen.

Quellen