Fallen Opfer auf Angreifer rein und klicken auf einen Link, kann das zur WordPress-Serverübernahme führen. Davor warnt ein Sicherheitsforscher und die Entwickler haben die Schwachstelle nun geschlossen.
Einem Beitrag vom Canadian Centre for Cyber Security zufolge gibt es Hinweise, dass Angreifer die Sicherheitslücke (CVE-2026-64638 „hoch“) bereits ausnutzen. WordPress 7.0.3 ist den Entwicklern zufolge gegen diese Attacken gerüstet.
Hintergründe zur Schwachstelle
In einem ausführlichen Blogbeitrag führt ein Sicherheitsforscher von pwn.ai Details zur XSS2Shell-Lücke aus. Der Fehler steckt konkret in WordPress-eigenen HTML-Filterfunktionen. Um die Lücke ausnutzen zu können, muss ein Opfer aber mitspielen.
Ein Angreifer erstellt eine eigene, harmlos aussehende HTML-Seite und platziert dort ein Formular, das die WordPress-Login-Seite eines Opfers adressiert. Etwa über eine Phishing-Mail bringt er ein Opfer dazu, auf eine URL zu klicken und die präparierte Website zu besuchen.
