WordPress-Schwachstellen umfassen kritische RCE chain in WordPress Core
Im Juli 2026 gingen beim Wordfence Bug Bounty Program 1.077 Meldungen zu WordPress-Schwachstellen ein, 1,0 % mehr als im Vormonat. Laut Wordfence prüft und validiert das Threat Intelligence Team die Meldungen, koordiniert die Offenlegung mit den betroffenen Anbietern, überprüft patches und erstellt gegebenenfalls Schutzregeln für die firewall. Anbieter können Meldungen über das kostenlose Vulnerability Management Portal verwalten. Ein bug bounty program bezahlt Sicherheitsforscher für die verantwortungsvolle Meldung von Schwachstellen, damit Entwickler sie beheben können, bevor Angreifer sie ausnutzen.
Das Programm hatte 281 aktive Forscher, 8,2 % weniger als im Vormonat. Die Meldungen umfassten 84 Erkenntnisse mit hoher Bedrohung, ein Anstieg um 44,8 %, und 73 als häufig und gefährlich eingestufte Schwachstellen, 62,2 % mehr als zuvor. Wordfence veröffentlichte 15 Regeln für web application firewalls, ein Plus von 114,3 %. Ein web application firewall oder WAF untersucht Website-Anfragen und blockiert Datenverkehr, der bekannten Angriffsmustern entspricht. Wordfence definiert Erkenntnisse mit hoher Bedrohung als Probleme wie arbitrary file upload oder remote code execution, die ein nicht authentifizierter Angreifer oder ein Angreifer mit geringen Berechtigungen in Software mit mindestens 25 aktiven Installationen ausnutzen kann. Die Kategorie häufig und gefährlich umfasst stored cross-site scripting und SQL injection unter vergleichbaren Zugriffsbedingungen in Software mit mindestens 500 Installationen.
Von den in diesem Monat eingereichten Meldungen wurden 243 als innerhalb des Programmumfangs liegend akzeptiert, 17 lagen außerhalb des Programmumfangs, 610 wurden abgelehnt und 207 waren Duplikate. Wordfence vergab 51.183 US-Dollar an Prämien, durchschnittlich 210,63 US-Dollar für jede validierte Meldung innerhalb des Programmumfangs. Die höchste Einzelprämie betrug 15.600 US-Dollar. Laut Wordfence erhalten Premium-, Care- und Response-Kunden den jeweils anwendbaren Schutz durch die firewall in Echtzeit, während die Regeln kostenlose Nutzer nach 30 Tagen erreichen.
Die höchste Prämie betraf Elementor Pro bis einschließlich Version 4.2.1. Dort konnte ein nicht authentifizierter Angreifer die Array-Validierung des Upload-Felds umgehen und einen arbitrary file upload durchführen. Für die betroffene Software waren 5.000.000 Installationen angegeben. Für Forminator Forms bis einschließlich Version 1.56.1 wurde eine Prämie von 2.048 US-Dollar für einen nicht authentifizierten arbitrary file upload mithilfe einer gefälschten Konfiguration des Upload-Felds vergeben; angegeben waren 600.000 Installationen. User Profile Builder bis einschließlich Version 3.16.4 wies einen nicht authentifizierten authentication bypass auf, der mit type confusion im Parameter `username` zusammenhing und zur Übernahme eines Administratorkontos führen konnte. Die Prämie betrug 975 US-Dollar, die angegebene Zahl der Installationen lag bei 40.000. Independent Analytics bis einschließlich Version 2.15.0 erhielt eine Prämie von 804 US-Dollar für nicht authentifiziertes stored cross-site scripting; betroffen war Software mit angegebenen 100.000 Installationen. Für Unlimited Elements For Elementor bis einschließlich Version 2.0.16 wurden 800 US-Dollar wegen nicht authentifizierter SQL injection gezahlt; angegeben waren 300.000 Installationen.
Stored cross-site scripting ermöglicht es, schädlichen Code auf einer Website zu speichern und späteren Besuchern auszuliefern. SQL injection manipuliert die Datenbankbefehle einer Website durch unsichere Eingaben. Unter den akzeptierten Meldungen war CWE 79, improper handling of input during page generation, mit 80 Meldungen die häufigste Kategorie. Dafür wurden insgesamt 13.415 US-Dollar und durchschnittlich 167,69 US-Dollar gezahlt. Zu CWE 434, dangerous unrestricted file upload, gab es 18 Meldungen; mit insgesamt 21.909 US-Dollar führte diese Kategorie jedoch bei der Höhe der Prämien, der Durchschnitt lag bei 1.217,17 US-Dollar. Zu CWE 89 und SQL-bezogenen Schwachstellen gab es ebenfalls 18 Meldungen, für die 2.968 US-Dollar gezahlt wurden. Weitere Kategorien waren improper privilege management mit 16 Meldungen, pathname restriction flaws mit zehn, improper authentication mit elf, user-controlled authorization bypass mit neun, missing authorization mit neun, unsafe code generation mit drei und alternate-path authentication bypass mit zwei Meldungen. Jeweils eine Meldung zu incorrect type conversion und deserialization of untrusted data wurde mit 975 beziehungsweise 615 US-Dollar vergütet.
Die Zugriffsanforderungen hatten großen Einfluss auf das gemeldete Risiko. Wordfence führte 163 nicht authentifizierte Schwachstellen mit einer durchschnittlichen Prämie von 350,84 US-Dollar auf, 60 Schwachstellen auf subscriber level mit durchschnittlich 133,37 US-Dollar, 14 nicht authentifizierte Erkenntnisse, die eine Interaktion über die Benutzeroberfläche erforderten, mit durchschnittlich 74 US-Dollar sowie vier Fälle mit individuellem Zugriff und durchschnittlich 19,67 US-Dollar. Auch die Installationszahlen unterschieden sich erheblich. Die 31 Erkenntnisse in Software, die außerhalb des offiziellen repository verbreitet wurde, hatten einen durchschnittlichen CVSS-Wert von 9,0 und eine durchschnittliche Prämie von 871,60 US-Dollar. CVSS, das Common Vulnerability Scoring System, bewertet den technischen Schweregrad auf einer numerischen Skala. Die 81 Erkenntnisse in Software mit 1.000 bis 49.999 Installationen erreichten im Durchschnitt 7,4 und 147,53 US-Dollar, während die 38 Erkenntnisse im Bereich von 100.000 bis 999.999 Installationen durchschnittlich 7,0 und 384,87 US-Dollar erreichten. Im Bereich von 1.000.000 bis 4.999.999 Installationen gab es nur eine Erkenntnis, mit einem Wert von 7,2 und einer Prämie von 672 US-Dollar.
Das folgenreichste Problem in WordPress Core war die wp2shell chain. Wordfence berichtete, dass die Versionen 6.9 bis einschließlich 7.0.1 von WordPress Core über den batch endpoint der REST API unter `/wp-json/batch/v1` für remote code execution oder RCE anfällig waren. RCE bedeutet, dass ein Angreifer den Server dazu bringen kann, Befehle oder Code auszuführen, ohne physisch anwesend zu sein. Die REST API ist eine Schnittstelle, über die Software Anfragen mit WordPress austauschen kann. Eine Diskrepanz zwischen route validation und dispatch konnte dazu führen, dass ein validierter sub-request einen unbeabsichtigten callback erreichte, die Einschränkung `allow_batch` umging und die input cleaning der vorgesehenen route vermied. Die Schwachstelle konnte anschließend mit SQL injection kombiniert werden, um Code auf dem Server auszuführen.
Das WordPress Security Team veröffentlichte am 17. Juli 2026 die korrigierten Versionen 6.8.6, 6.9.5 und 7.0.2. In den Versionshinweisen wurden die beiden in der wp2shell chain genutzten Schwachstellen als ein kritisches Problem und ein Problem mit hohem Schweregrad eingestuft. Wegen des Schweregrads wurden für betroffene Versionen erzwungene automatische Updates aktiviert. Wordfence beschrieb die chain als die erste kritische, nicht authentifizierte WordPress-Core-RCE seit fast einem Jahrzehnt und schrieb ihre Entdeckung und verantwortungsvolle Offenlegung Assetnote und Searchlight Cyber zu.
Ein separater Fall betraf Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … in den Versionen 10.8.7 und 10.8.8. Wordfence PRISM identifizierte eine hardcoded backdoor, über die ein nicht authentifizierter Angreifer die Kontrolle über ein ausgewähltes, bestehendes Administratorkonto übernehmen konnte. Die Funktion `_arve_uc_init()` wurde bei jeder Anfrage vor den Authentifizierungsprüfungen ausgeführt, akzeptierte über den Parameter `_wplogin` oder `_wpm` ein Token und verglich dieses mit einem im plugin eingebetteten SHA-256 hash. Der Vorgang umfasste weder eine nonce-Verifizierung noch einen capability check oder eine Passwortvalidierung. Eine nonce ist ein einmal verwendbarer Wert, der belegen soll, dass eine Anfrage von einer erwarteten Seite oder session stammt. Da die universellen Zugangsdaten im Code des plugins offengelegt waren, konnte jeder, der das Token kannte, sie verwenden. Laut Wordfence wurde die backdoor wahrscheinlich eingefügt, nachdem sich ein Angreifer commit access auf das Konto des Entwicklers verschafft hatte; Wordfence stellte diese Herkunft jedoch als wahrscheinlich und nicht als bestätigte Tatsache dar.
Im Berichtszeitraum liefen keine Prämienaktionen, und keine Forscher stiegen in die Stufen Elite oder Resourceful auf. Für Websitebetreiber besteht die praktische Lehre darin, WordPress-Sicherheitsversionen unverzüglich zu installieren, betroffene plugins zu aktualisieren oder zu deaktivieren und vor Änderungen wiederherstellbare Backups anzulegen.