Im Kern kombiniert „wp2shell“ zwei Fehler zu einer Angriffskette, die auf einer unveränderten Standardinstallation von WordPress ohne Plugins funktioniert. Searchlight Cyber betont, der Angriff habe keine Vorbedingungen und könne von einem anonymen Nutzer auf einer Standardinstallation ausgenutzt werden. Technische Details hält das Unternehmen wegen der Schwere des Problems zurück.
Wie Ben Marr, Security Engineer bei Intruder, erklärt, nutzt die Kette eine zweiteilige Schwachstellenkombination, um mit nur einer einzelnen HTTP-Anfrage eine nicht authentifizierte SQL-Injection auf einer Standardinstallation auszulösen. CVE-2026-60137 ist demnach der Einstiegspunkt: ein Fehler in der Routenlogik des REST-API-Batch-Endpunkts, der die Authentifizierung umgeht und es Angreifern erlaubt, interne Handler ohne jede Berechtigungsprüfung aufzurufen.
Der zweite Teil betrifft nach der Beschreibung im Quelltext die unzureichende Bereinigung des Parameters „author__not_in“ innerhalb von „WP_Query“, wenn nicht vertrauenswürdige Daten aus einem Plugin oder Theme dorthin gelangen. Dadurch kann speziell präparierte Eingabe eine Datenbankabfrage verändern und so möglicherweise zu unbefugtem Zugriff oder zur Manipulation von Daten führen. Cloudflare ergänzt, dass CVE-2026-63030 nur dann eine nicht authentifizierte Remotecodeausführung ermöglicht, wenn kein persistenter Objekt-Cache eingesetzt wird.
Die laufende Ausnutzung ist bereits deutlich sichtbar. Telemetriedaten von KEVIntel verknüpfen 13 eindeutige IP-Adressen aus der Schweiz, Deutschland, Großbritannien, Indonesien, Litauen, den Niederlanden und Singapur mit der Ausnutzung von CVE-2026-63030. WatchTowr berichtet zudem, dass Angreifer nach Veröffentlichung eines öffentlichen Exploits das Internet wahllos mit Angriffen überziehen. Die Honeypots des Unternehmens registrierten „zehntausende Ausnutzungsversuche“.
Jake Knott von watchTowr sagt, aus Sicht des Unternehmens über einen globalen Kundenstamm hinweg sei die Auswirkung in Organisationen jeder Größe und in allen Branchen breit zu sehen. Nach seinen Angaben wurden anfangs gehashte Zugangsdaten exfiltriert; die Remotecodeausführung folgte, nachdem zusätzliche Informationen veröffentlicht worden waren.
Wiz beobachtete nach der Ausnutzung der beiden Lücken mehrere Aktivitäten nach dem Eindringen. Die Forscher Shahar Dorfman und Gili Tikochinski berichten zugleich von großvolumigen Scan-Aktivitäten ohne anschließende weitere Kompromittierung. Das deute auf opportunistische Massen-Scans zur Identifikation verwundbarer Ziele hin, neben legitimen Sicherheits-Scans. Seitliche Bewegung oder Datenabfluss hat Wiz nach eigenen Angaben bislang nicht festgestellt und untersucht die Vorgänge weiter.
Zu den beobachteten Werkzeugen gehört laut Wiz eine 150 Kilobyte große Web-Shell, die als legitimes WordPress-Sicherheits-Plugin mit dem Namen CMSmap getarnt ist. Sie fungiert als „voll ausgestattete Angriffsplattform“ und unterstützt Dateiverwaltung, Datenbankzugriff, Port-Scanning, gebündelte Code-Injektion sowie mehrere Module zur Rechteausweitung, darunter die Ausnutzung von MySQL-UDFs.
Außerdem sollen nach erfolgreicher Ausnutzung mehr als 100 Backdoor-Administratorkonten angelegt worden sein. Diese Konten erlauben es Angreifern, gefälschte WordPress-Plugins zu installieren, um Codeausführung zu erlangen, oder weitere Werkzeuge nachzuladen, um das System weiter zu kompromittieren. In mindestens einem Fall wurde ein Akteur dabei beobachtet, wiederholt die Installation von Overlord RAT zu versuchen, einem in Golang geschriebenen Fernzugriffs-Trojaner.