Die Schwachstelle CVE-2026-29059 betrifft den Windmill-Endpunkt „/api/w/{workspace}/jobs_u/get_log_file/{filename}“. Windmill erklärte in seiner Sicherheitsmitteilung, dass der Dateiname ohne Bereinigung in einen Pfad übernommen werde. So werde ein Directory-Traversal möglich, mit dem sich Server-Dateien ohne Authentifizierung auslesen lassen.
Windmill nennt als primär gefährdeten Wert die Umgebungsvariable SUPERADMIN_SECRET. Ist sie gesetzt, kann sie über „/proc/1/environ“ gelesen und als Bearer-Token genutzt werden, um Superadmin-Rechte zu erlangen. Darüber sei dann die Ausführung beliebigen Codes über die Job-Preview-API möglich. Zugleich weist der Hersteller darauf hin, dass SUPERADMIN_SECRET nicht standardmäßig gesetzt ist. Bei eigenständigen Installationen ohne diese Variable sei die Auswirkung auf beliebiges Dateilesen begrenzt.
Behoben wurde das Problem in Windmill 1.603.3. Die im Januar 2026 veröffentlichte Version ergänzt laut Hersteller Prüfungen zur Bereinigung des Parameters „filename“, um Directory-Traversal zu verhindern.
VulnCheck zufolge wird die Lücke bereits praktisch angegriffen. Der Sicherheitsforscher Valentin Lobstein, dem die Entdeckung und Meldung des Fehlers zugeschrieben wird, beobachtete demnach Ausnutzungsversuche gegen den „get_log_file“-Endpunkt, um sensible Informationen aus der Datei „/etc/passwd“ zu extrahieren. Caitlin Condon, Vizepräsidentin für Sicherheitsforschung bei VulnCheck, schrieb zudem auf LinkedIn, man habe Angriffe sowohl auf direkte Windmill-Endpunkte als auch auf den Nextcloud-Proxy-Pfad beobachtet.
Nach Angaben des Unternehmens fand VulnCheck rund 170 verwundbare, öffentlich erreichbare Systeme in 24 Ländern.
Im selben Zusammenhang hat die US-Behörde CISA vier weitere Schwachstellen in ihren KEV-Katalog der bekanntermaßen ausgenutzten Sicherheitslücken aufgenommen. Dazu zählen die beiden als wp2shell verfolgten WordPress-Schwachstellen CVE-2026-60137 und CVE-2026-63030, außerdem ein stackbasierter Pufferüberlauf in DD-WRT mit der Kennung CVE-2021-27137 sowie eine nicht authentifizierte Remote-Code-Execution-Lücke in Langflow, CVE-2026-0770.
Wordfence bezeichnete wp2shell als eines der bedeutendsten WordPress-Core-Sicherheitsereignisse der vergangenen Jahre. Das Unternehmen verweist auf die Kombination aus nicht authentifiziert erreichbarem Angriffsweg, fehlender Abhängigkeit von Plugins oder Themes, großer globaler Angriffsfläche, einem Pfad zu Administratorzugriff und Codeausführung sowie öffentlich verfügbaren Proof-of-Concept-Exploits. Angriffsdaten von Wordfence zeigen demnach Anfragen, die eine Route-Verwechslung in der REST-API-Batch-Anfrage und eine nicht authentifizierte SQL-Injection ausnutzen sollen, um Codeausführung zu erreichen.
VulnCheck teilte außerdem mit, man habe bis zum 19. Juli 2026 mehr als zwei Dutzend unterschiedliche PoC-Exploits gegen WP2Shell verifiziert. Für CVE-2026-0770 sagte Ryan Dewhurst von KEVIntel gegenüber The Hacker News, erste reale Angriffsversuche gegen die Lücke seien am 27. Juni 2026 an den eigenen Sensoren erkannt worden. Seitdem habe man 137 Ausnutzungsversuche von 46 unterschiedlichen Angreifer-IP-Adressen aus 17 Ländern registriert. Beobachtet wurden unter anderem Prüfkommandos zur Befehlsausführung, Versuche zum Auslesen von „/etc/passwd“ oder AWS-Zugangsdaten, das Sammeln von Umgebungsvariablen, Malware-Downloads per wget oder curl sowie Shell-Skripte zur Installation weiterer Nutzlasten. Für Behörden des Federal Civilian Executive Branch gilt laut CISA eine Frist bis zum 24. Juli 2026, um die genannten Schwachstellen zu beheben.