Im Zentrum des Rückblicks steht eine von Searchlight Cyber offengelegte Schwachstelle in WordPress Core, die eine nicht authentifizierte Remotecodeausführung ermöglicht. Ausgenutzt wird dabei eine Kette aus CVE-2026-63030, beschrieben als Verwechslung von Batch-Routen in der REST-API, und CVE-2026-60137, einer SQL-Injection in WordPress Core. Laut Searchlight Cyber lässt sich so eine anonyme Anfrage in Codeausführung umwandeln, und zwar auf einer gewöhnlichen WordPress-Installation ohne Plugins oder weitere Sonderbedingungen.
watchTowr berichtet, bereits Proof-of-Concept-Exploits im Umlauf zu sehen, und nach eigenen Angaben zeigen sich erste Anzeichen für eine Ausnutzung unter Realbedingungen. watchTowr-CEO Benjamin Harris wird mit der Einschätzung zitiert: „Das wird wehtun.“ Er verweist darauf, dass WordPress auf Hunderten Millionen Websites weltweit läuft. Ein Teil davon werde zwar durch Hosting-Anbieter automatisch gepatcht, viele Installationen aber nicht. watchTowr empfiehlt daher, so schnell wie möglich zu patchen und zusätzlich zu prüfen, ob Angreifer bereits zuvor eingedrungen sind und Hintertüren hinterlassen haben. Das Unternehmen bezeichnet den Fall zudem als jüngstes Beispiel dafür, wie KI-gestützte Werkzeuge Schwachstellen zutage fördern und wie Angreifer diese Technik zur Bewaffnung solcher Funde missbrauchen.
Der Rückblick unterstreicht darüber hinaus, dass sich der Zeitraum zwischen Patch und Exploit weiter verkürzt. Als besonders wichtige Fälle der Woche nennt der Text eine Reihe schwerwiegender, weit verbreiteter oder bereits aktiv sondierter Schwachstellen. Zu den als dringlich markierten Einträgen zählen neben CVE-2026-63030 und CVE-2026-60137 in WordPress Core auch CVE-2026-58644 und CVE-2026-56164 in Microsoft SharePoint Server sowie CVE-2026-56155 in Microsoft Active Directory Federation Services.
Ebenfalls aufgeführt werden CVE-2026-53412 im Zoom Desktop Client für Windows und im Zoom VDI Client für Windows, CVE-2026-44747, CVE-2026-27690 und CVE-2026-44761 in SAP sowie CVE-2026-57219 und CVE-2026-57221 in RabbitMQ. Hinzu kommen CVE-2026-59208 und CVE-2026-54305 in n8n, CVE-2026-60105 in Monsta FTP sowie CVE-2026-14960 und CVE-2026-14961 im Treiber tdeio64.sys.
Die Liste setzt sich fort mit CVE-2026-33894 und CVE-2026-33895 in Digital Bazaar node-forge, CVE-2026-6875 in der ServiceNow AI Platform, CVE-2026-42533, CVE-2026-60005 und CVE-2026-56434 in F5 NGINX Plus und NGINX Open Source sowie CVE-2026-20296 und CVE-2026-20297 in Splunk Enterprise. Genannt werden außerdem CVE-2026-15265 im Tenable Agent, CVE-2026-6423 im ESET Inspect Connector, CVE-2026-15053 im Tanium Server, CVE-2026-44909, CVE-2026-59173 und CVE-2026-59762 in HTTP/2-Serverimplementierungen, CVE-2026-14890 in SGLang, CVE-2026-14266 in 7-Zip, CVE-2026-59084 in Apache Tomcat, CVE-2026-15682 in AnyDesk und CVE-2026-54523 in Kyverno.
Abseits der konkreten CVE-Liste erwähnt der Rückblick auch den Markt für KI-Sicherheitsjobs. SANS hat demnach Einstellungen über zehn spezifische Rollen hinweg erfasst und verifizierte Stellendaten, Gehaltsspannen sowie die dafür benötigten Fähigkeiten zugeordnet. Das beschriebene Drei-Stufen-Modell soll Teams helfen zu erkennen, welche Rollen sie sofort priorisieren und welche sie schrittweise aufbauen sollten.