Mehrere IT-Sicherheitsunternehmen sowie das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnen davor, dass sie Angriffe auf die am vergangenen Freitag bekannt gewordene „wp2shell“-Sicherheitslücke in WordPress beobachten. Es handelt sich bei „wp2shell“ am Ende um eine Verkettung von Schwachstellen, die das Einschleusen von Code über eine API – durch die Verkettung ohne vorherige Authentifizierung – erlauben.
Das BSI hat eine Warnung veröffentlicht, laut der die Lücke die Stufe 3 (Orange) auf der Risikoskala nach Traffic-Light-Protokoll erreicht. Die Behörde weist darin auf die aktive Ausnutzung in freier Wildbahn hin. Das BSI schreibt, dass im Laufe des Wochenendes Proof-of-Concept-Code veröffentlicht worden sei, der die Ausnutzung der Schwachstellenkette und damit Angriffe ohne vorherige Anmeldung demonstriert. Das BSI stuft die Lückenverkettung abweichend von den einzelnen Risikoeinstufungen der jeweiligen Lücken (CVE-2026-60137, CVSS 9.1, Risiko „kritisch“; CVE-2026-63030, CVSS 7.5, Risiko „hoch“) mit einem CVSS-Wert von 9.8 als „kritisch“ ein.
Die deutsche IT-Sicherheitsbehörde weist zudem darauf hin, dass nur wenige Stunden nach der Veröffentlichung der Lücken erste PoCs auftauchten und kurz darauf bereits Berichte über ersten Missbrauch auftauchten. Das sei ein weiterer Hinweis auf die inzwischen deutlich verkürzte Zeit zum Missbrauch von Schwachstellen („Time-to-Exploit“).
