CVE-2026-60137
WordPress Core SQL Injection Vulnerability
Beschreibung
CVE-2026-60137 ist eine SQL-Injection-Schwachstelle im WordPress-Kern: Der Parameter author__not_in von WP_Query wird nicht ordnungsgemäß bereinigt, sodass jedes Plugin und jedes Theme, das nicht vertrauenswürdige Eingaben an diesen Parameter weitergibt, einem Angreifer Kontrolle über einen Teil der entstehenden SQL-Anweisung überlässt. Betroffen sind WordPress 6.8.x vor 6.8.6, 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2 — der Fehler sitzt damit in der Query-Schicht, auf die praktisch jede WordPress-Installation aufbaut, und nicht in einer optionalen Komponente. Der CVSS-Wert von 5.9 (Mittel) spiegelt die Abhängigkeit davon, dass ein Plugin oder Theme den nicht vertrauenswürdigen Wert überhaupt weiterreicht, doch der EPSS-Wert von 79 % stellt CVE-2026-60137 in das 99,6. Perzentil der Ausnutzungswahrscheinlichkeit, und CISA hat die Lücke mit Frist 04.08.2026 in den KEV-Katalog aufgenommen. Zudem dient die Schwachstelle als Injection-Primitiv in einer Kette mit CVE-2026-63030, einem Route-Confusion-Problem der REST-API, das aus dieser SQL Injection eine Remote Code Execution macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| wordpress | wordpress | >= 6.8, < 6.8.6; >= 6.9, < 6.9.5; >= 7.0, < 7.0.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Referenzen
Schwachstellentyp
CWE-89: Unsachgemäße Neutralisierung von Spezialelementen in einem SQL-Befehl ('SQL Injection')
SQL Injection tritt auf, wenn Software einen SQL-Befehl ganz oder teilweise aus extern beeinflussten Eingaben zusammensetzt, ohne die Spezialelemente zu neutralisieren, die die Bedeutung der Abfrage verändern können. In WordPress soll das Argument author__not_in von WP_Query eine Liste von Autoren-IDs aufnehmen und wird in die WHERE-Klausel der Abfrage eingesetzt; weil die Werte nicht ordnungsgemäß bereinigt werden, gelangen bei einem Plugin oder Theme, das benutzerkontrollierte Daten in dieses Argument gibt, angreiferkontrollierte SQL-Fragmente an die Datenbank und legen die Inhalte der WordPress-Tabellen offen.
Mehr erfahren: CWE-89 — Unsachgemäße Neutralisierung von Spezialelementen in einem SQL-Befehl ('SQL Injection')
Auswirkungsanalyse
CVE-2026-60137 hat einen CVSS-3.1-Basiswert von 5.9 (Mittel): aus der Ferne ohne physischen Zugriff ausnutzbar, ohne Authentifizierung und ohne Benutzerinteraktion, doch die Angriffskomplexität ist hoch eingestuft, weil die Ausnutzung davon abhängt, dass ein Plugin oder Theme nicht vertrauenswürdige Eingaben tatsächlich in author__not_in leitet. Vertraulichkeit (Hoch): Ist diese Bedingung erfüllt, kann ein Angreifer beliebige Daten aus der WordPress-Datenbank lesen, einschließlich der Tabelle wp_users mit Benutzernamen und Passwort-Hashes, privater Beitragsinhalte sowie Options-Einträge, die häufig API-Schlüssel und Integrationsgeheimnisse enthalten. Integrität und Verfügbarkeit (Keine): Dieser Parameter liefert eine lesende Injection und aus sich heraus keinen Pfad zum Schreiben oder Zerstören von Daten. Entscheidend ist der Vorbehalt, dass das Plugin-Ökosystem groß ist und WP_Query-Argumente häufig direkt aus Request-Parametern übernommen werden: Die praktische Trefferquote ist deutlich höher, als die 5.9 vermuten lassen — sichtbar am EPSS-Wert von 79 %, der eine hohe Wahrscheinlichkeit aktiver Ausnutzung signalisiert. In Verkettung mit dem Route-Confusion-Problem CVE-2026-63030 trägt derselbe Fehler zu einem kritischen, nicht authentifizierten Pfad zur Remote Code Execution auf der Website bei.
Exploit-Reifegrad
CVE-2026-60137 steht im CISA-Katalog der Known Exploited Vulnerabilities, aktive Ausnutzung in freier Wildbahn ist damit bestätigt, Frist ist der 04.08.2026; ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft. In den vorliegenden Referenzen ist kein öffentlicher Exploit-Code verlinkt — die Quellen sind das WordPress-Security-Advisory GHSA-fpp7-x2x2-2mjf, die Release-Notes zu WordPress 7.0.2 und der CISA-KEV-Eintrag —, doch der EPSS-Wert von 79 % (99,6. Perzentil) deutet auf nahezu sichere, laufende Ausnutzungsaktivität hin, was bei einem Fehler auf Kernebene im am weitesten verbreiteten CMS zu erwarten ist. Entscheidend ist das Verkettungspotenzial: Die NVD-Beschreibung zu CVE-2026-63030 nennt ausdrücklich, dass das Route-Confusion-Problem am REST-API-Batch-Endpunkt in Kombination mit dieser author__not_in-SQL-Injection eine SQL Injection und darüber eine Remote Code Execution ermöglichen kann. Isoliert betrachtet ist dies ein Datenoffenlegungsfehler mittlerer Schwere; als Hälfte einer veröffentlichten Kette ist er Teil eines kritischen, nicht authentifizierten Kompromittierungspfads — aktualisieren Sie den Kern daher sofort.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, unter Einhaltung der BOD-26-04-Vorgaben zur risikobasierten Patch-Priorisierung und der „Forensics Triage Requirements" von CISA — oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die KEV-Frist ist der 04.08.2026.
- Aktualisieren Sie den WordPress-Kern auf 6.8.6, 6.9.5 oder 7.0.2 — die Releases, die die Bereinigung von
author__not_inkorrigieren —, wie in GHSA-fpp7-x2x2-2mjf und der Ankündigung zu WordPress 7.0.2 beschrieben. Websites, die auf automatische Minor-Updates setzen, sollten die resultierende Version prüfen, statt anzunehmen, das Update sei eingespielt. - Prüfen Sie installierte Plugins und Themes auf Code, der Request-Daten an
WP_Query-Argumente weitergibt, insbesondereauthor__not_in,author__inund verwandte Listenparameter, und casten Sie solche Werte vor der Verwendung nach Integer. Damit entfällt der ausnutzbare Pfad auch dort, wo ein ungepatchter Kern vorübergehend bestehen bleibt. - Prüfen Sie Datenbank- und Webserver-Logs auf Abfragen oder Anfragen mit SQL-Syntax in autorenbezogenen Parametern, kontrollieren Sie
wp_usersauf unerwartete Administratorkonten und rotieren Sie in der Options-Tabelle gespeicherte Zugangsdaten und API-Schlüssel, wenn sich Hinweise auf eine Extraktion finden — die Ausnutzung in freier Wildbahn ist bestätigt, die Log-Prüfung also nicht optional. - Zur langfristigen Härtung gegen SQL Injection (CWE-89):
$wpdb->prepare()für jede eigene Abfrage verwenden, Request-Daten niemals in SQL-Strings interpolieren, Allowlist-Validierung und Integer-Casting direkt am Eintrittspunkt anwenden und dem Datenbankbenutzer nur die Rechte geben, die die Website wirklich braucht, damit eine künftige Injection einen kleineren Wirkungsradius hat.
Technische Details
Der Fehler hinter CVE-2026-60137 ist die fehlende Bereinigung des Arguments author__not_in in WP_Query, der Kernklasse, die Query-Argumente für nahezu jeden Inhaltsabruf in WordPress in SQL übersetzt. author__not_in nimmt dokumentiert eine Liste von Autoren-IDs auf, die aus den Ergebnissen ausgeschlossen werden, und diese Werte landen in der erzeugten WHERE-Klausel; weil sie nicht ordnungsgemäß neutralisiert werden, erlaubt ein Aufrufer, der nicht vertrauenswürdige Eingaben weitergibt, dass Spezialelemente den beabsichtigten SQL-Befehl verändern (CWE-89). Der Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N zeigt einen nicht authentifizierten Netzwerkangriff ohne Benutzerinteraktion, wobei die Metrik AC:H die umgebungsbedingte Voraussetzung kodiert, dass ein Plugin oder Theme den nicht vertrauenswürdigen Wert liefern muss — der WordPress-Kern selbst setzt den Parameter keinen ungefilterten Request-Daten aus. Betroffen ist ausschließlich die Vertraulichkeit mit „Hoch", da der Injection-Punkt in einer Selektionsklausel sitzt und Datenoffenlegung aus dem WordPress-Schema liefert. Die betroffenen Bereiche sind 6.8 bis unter 6.8.6, 6.9 bis unter 6.9.5 und 7.0 bis unter 7.0.2.
Häufig gestellte Fragen
Wird CVE-2026-60137 aktiv ausgenutzt?
Ja. CVE-2026-60137 steht mit Behebungsfrist 04.08.2026 im CISA-Katalog der Known Exploited Vulnerabilities, und der EPSS-Wert von 79 % entspricht dem 99,6. Perzentil, was auf nahezu sichere Ausnutzungsaktivität hindeutet. Ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft, die Schwachstelle ist jedoch als Teil einer Kette mit CVE-2026-63030 dokumentiert, die zur Remote Code Execution führt.
Welche Produkte sind von CVE-2026-60137 betroffen?
Betroffen ist der WordPress-Kern in den Versionen 6.8 bis unter 6.8.6, 6.9 bis unter 6.9.5 und 7.0 bis unter 7.0.2. Die Ausnutzung setzt zusätzlich ein Plugin oder Theme voraus, das nicht vertrauenswürdige Eingaben an den Parameter author__not_in von WP_Query weitergibt — Websites mit vielen Plugins tragen daher das höhere Risiko.
Wie behebe ich CVE-2026-60137?
Aktualisieren Sie den WordPress-Kern auf 6.8.6, 6.9.5 oder 7.0.2, die die Bereinigung von author__not_in korrigieren. Prüfen Sie zusätzlich Plugins und Themes auf Code, der Request-Daten an WP_Query-Argumente weiterreicht, casten Sie diese Werte nach Integer und kontrollieren Sie Logs sowie die Tabelle wp_users auf Hinweise auf eine frühere Datenextraktion.
Wie schwerwiegend ist CVE-2026-60137?
Der CVSS-3.1-Basiswert liegt bei 5.9 (Mittel), da die hohe Angriffskomplexität die Notwendigkeit widerspiegelt, dass ein Plugin oder Theme nicht vertrauenswürdige Eingaben in den verwundbaren Parameter gibt, mit hoher Auswirkung allein auf die Vertraulichkeit. Der EPSS-Wert von 79 % liegt jedoch im 99,6. Perzentil, und weil der Fehler als SQL-Injection-Primitiv in der Kette zu CVE-2026-63030 dient, die eine Remote Code Execution erreicht, ist die reale Schwere deutlich höher als der Basiswert allein.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.