Im Zentrum der aktuellen Angriffswelle stehen zwei Fehler in WordPress Core und der Batch REST API. CVE-2026-60137 ist eine SQL-Injection-Schwachstelle in WordPress Core, mit der sich Datenbankabfragen manipulieren und Daten abrufen lassen, die nicht offengelegt werden sollten. Für sich allein lässt sich die Lücke nur von angemeldeten Nutzern ausnutzen.
Erst in Kombination mit CVE-2026-63030 wird sie ohne Anmeldung erreichbar. Diese zweite Schwachstelle ist laut Quelltext ein Logikfehler in der Batch REST API von WordPress, mit der Anwendungen mehrere Anfragen — etwa zum Erstellen, Aktualisieren oder Abrufen von Inhalten — in einem einzigen API-Aufruf bündeln können. Ursache ist eine Abweichung zwischen der Validierung von Anfragen am Batch-Endpunkt und ihrer späteren Ausführung. Dadurch können Angreifer eine bösartige Anfrage an Prüfungen vorbeischleusen, die normalerweise eine gültige Anmeldung erfordern.
In der Kette erlauben beide Fehler zusammen laut Bericht vollständige Remote Code Execution auf einer WordPress-Standardinstallation — ohne Zugangsdaten und ohne vorherige Authentifizierung. Patrick Munch, Sicherheitschef von Mondoo, bezeichnet die Kombination aus SQL-Injection und RCE deshalb als besonders attraktiv für Angreifer. Eine SQL-Injection bringe einen in die WordPress-Datenbank, RCE auf den ganzen Server. Zusammen mit einem Fehler, der „nur“ Daten preisgibt, ende das bei einer Web-Shell auf dem Host.
Searchlight Cyber schreibt die Entdeckung der Schwachstellen GPT-5.6 Sol Ultra zu. Sicherheitsforscher Adam Kues von Searchlight Cyber sagt, das Modell habe sowohl beim Auffinden der Schwachstellen als auch bei der Entwicklung der Exploit-Kette geholfen — und zwar innerhalb von nur zehn Stunden. Er erklärte, er könne „mit vollständiger Sicherheit“ sagen, dass kein Sicherheitsforscher diese Angriffskette in zehn Stunden ohne KI hätte finden und fertigstellen können.
Wie schnell die öffentliche Ausnutzung anlief, beschreiben mehrere Sicherheitsanbieter. VulnCheck teilte in einem Blogeintrag mit, man habe bis Sonntag, den 19. Juli, mehr als zwei Dutzend unterschiedliche Proof-of-Concept-Exploits für WP2Shell verifiziert — kaum zwei Tage nach der ersten Offenlegung. WatchTowr beobachtet die Aktivität nach Angaben von Principal Security Researcher Jake Knott seit Freitag über das Honeypot-Netzwerk Attacker Eye. Bereits in den frühen Morgenstunden des Samstags (UTC) seien Angreifer intensiv dabei gewesen, die beiden Lücken auszunutzen.
Zunächst hätten sie öffentlichen Exploit-Code verwendet, um gehashte Zugangsdaten abzuziehen, und anschließend mit zunehmender Verfügbarkeit weiterer Details Code auf verwundbaren Systemen aus der Ferne ausgeführt. Knott sagt, watchTowr habe zehntausende Ausnutzungsversuche registriert sowie mehr als 100 Backdoor-Konten, die von unterschiedlichen Bedrohungsakteuren mit Varianten öffentlicher Werkzeuge angelegt worden seien. Sobald ein verstecktes Administratorkonto angelegt war, hätten Angreifer gefälschte WordPress-Plug-ins installiert, um Remote Code Execution zu erhalten, Zugangsdaten oder Geheimnisse abzuziehen oder weitere Werkzeuge nachzuladen. In einem Fall habe watchTowr beobachtet, wie ein Angreifer wiederholt versucht habe, den auf Golang basierenden Remote-Access-Trojaner Overlord RAT herunterzuladen.
Betroffen sind WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. WordPress veröffentlichte am 17. Juli ein Sicherheitsupdate, das beide Schwachstellen behebt. Nach Angaben von WordPress.org wurden wegen des Schweregrads erzwungene Updates über das Auto-Update-System für Websites mit betroffenen Versionen aktiviert.