Searchlight Cyber, dessen Forscher die Schwachstellen entdeckt haben, beschreibt CVE-2026-60137 als schwerwiegende SQL-Injection-Lücke. Bei CVE-2026-63030 handelt es sich um eine kritische Schwachstelle, die die Ausführung von beliebigem Code ermöglicht. Werden beide Lücken kombiniert, ist auf betroffenen WordPress-Websites eine nicht authentifizierte Remotecodeausführung möglich. Angreifer können so die Kontrolle über angegriffene Websites übernehmen.
Nach Angaben von Searchlight Cyber wurden keine technischen Details veröffentlicht, um Missbrauch zu erschweren. Dennoch sind bereits von anderer Seite Proof-of-Concept-Exploits öffentlich gemacht worden. Die Ausnutzung begann kurz nach der Offenlegung der Schwachstellen.
Bestätigt wurde die aktive Ausnutzung von mehreren Cybersicherheitsfirmen. Dazu zählt unter anderem das auf WordPress spezialisierte Sicherheitsunternehmen Patchstack. Auch WatchTowr hat Ausnutzungsversuche in freier Wildbahn beobachtet.
Hexastrike meldete, dass das Unternehmen am Wochenende erste Ausnutzungsversuche in seinen Honeypots gesehen habe. Am Sonntag erklärte die Firma zudem, sie habe bereits bei mehreren Angriffen auf die Reaktion auf Sicherheitsvorfälle unterstützt. Hexastrike veröffentlichte außerdem Empfehlungen zur Erkennung und Untersuchung von Eindringlingen.
WordPress-Entwickler begründeten die erzwungenen Auto-Updates mit der Schwere der Lage. Cloudflare ergänzte den Schutz mit eigenen Regeln, um Angriffe zu erkennen und Kunden abzusichern, die die bereitgestellten Updates nicht unmittelbar eingespielt haben.
Benjamin Harris, Geschäftsführer und Gründer von WatchTowr, sagte gegenüber SecurityWeek, dass dies schmerzhaft werde. WordPress laufe auf Hunderten Millionen Websites weltweit. Ein Teil davon werde zwar von Hosting-Anbietern automatisch gepatcht, viele andere jedoch nicht. Dort werde der Schaden entstehen.
Harris sieht darin zudem ein weiteres Beispiel für einen klaren Trend: Schwachstellen würden zunehmend mit KI-gestützten Werkzeugen entdeckt, was sowohl die Auffindung solcher Probleme als auch die Geschwindigkeit ihrer Bewaffnung verändere. Proof-of-Concepts seien innerhalb weniger Stunden nach der Offenlegung erschienen, während das früher 24 Stunden oder länger gedauert habe. Das Zeitfenster zwischen Offenlegung und Ausnutzung sei damit stark geschrumpft.