CVE-2026-63030
WordPress Core Interpretation Conflict Vulnerability
Beschreibung
CVE-2026-63030 ist eine Route-Confusion-Schwachstelle am REST-API-Batch-Endpunkt des WordPress-Kerns, die in Kombination mit der als CVE-2026-60137 geführten SQL Injection über author__not_in in WP_Query eine SQL Injection und darüber eine Remote Code Execution ermöglicht. Der Batch-Endpunkt löst Anfragen anders auf Routen auf, als die umgebende Validierung annimmt: Eine nicht authentifizierte Anfrage lässt sich damit in einen Codepfad lenken, der nicht erreichbar sein sollte, und von dort wird das SQL-Injection-Primitiv ausnutzbar. Betroffen sind WordPress 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2. Mit CVSS 9.8 (Kritisch) und einem EPSS-Wert von 98 % — dem 99,9. Perzentil aller CVEs — gehört diese WordPress-Schwachstelle zu den am wahrscheinlichsten ausgenutzten Lücken im aktuellen CISA-Bestand; die Aufnahme in den KEV-Katalog erfolgte mit Frist 24.07.2026. Jede Website mit einer betroffenen Version sollte das Update als Notfall behandeln.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| wordpress | wordpress | >= 6.9, < 6.9.5; >= 7.0, < 7.0.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
Schwachstellentyp
CWE-436: Interpretationskonflikt
CWE-436 beschreibt eine Schwachstelle, bei der zwei oder mehr Komponenten dieselbe Eingabe unterschiedlich interpretieren, sodass eine Anfrage, die eine Schicht für unbedenklich hält, von einer anderen Schicht auf unbeabsichtigte Weise verarbeitet wird. In WordPress sind sich der REST-API-Batch-Endpunkt und die dahinterliegende Routenauflösung nicht einig, welche Route eine gebündelte Anfrage anspricht, und diese Inkonsistenz erlaubt einem Angreifer, Funktionalität zu erreichen, die die Prüfungen auf Anfrageebene abschirmen sollten — genau dadurch wird die begleitende SQL Injection ohne Authentifizierung erreichbar.
Mehr erfahren: CWE-436 — Interpretation Conflict
Auswirkungsanalyse
CVE-2026-63030 hat einen CVSS-3.1-Basiswert von 9.8 (Kritisch), wobei jede Ausnutzbarkeitsmetrik am Maximum liegt: aus der Ferne ohne physischen Zugriff ausnutzbar, leicht auszunutzen ohne besondere Voraussetzungen, ohne Authentifizierung und ohne Benutzerinteraktion. Vertraulichkeit (Hoch): Die verkettete SQL Injection legt die gesamte WordPress-Datenbank offen, einschließlich Benutzerdatensätzen mit Passwort-Hashes sowie Options-Einträgen mit API-Schlüsseln und Integrationsgeheimnissen. Integrität (Hoch): Das dokumentierte Ergebnis der Kette ist Remote Code Execution, ein Angreifer kann also Website-Inhalte verändern, Backdoors installieren und Plugin- oder Theme-Dateien manipulieren. Verfügbarkeit (Hoch): Codeausführung auf dem Webhost erlaubt zudem Defacement oder die Zerstörung der Website und ihrer Datenbank. Der EPSS-Wert von 98 % signalisiert nahezu sichere Ausnutzungsaktivität, und zusammen mit dem CISA-KEV-Eintrag ist das ein so eindeutiges „sofort patchen"-Signal, wie es überhaupt möglich ist. Zwei Faktoren verstärken das Geschäftsrisiko: WordPress betreibt einen sehr großen Anteil öffentlicher Websites, das Angreiferinteresse ist damit gesichert, und die REST-API ist standardmäßig aktiv, der verwundbare Endpunkt also auf einer Standardinstallation ohne besondere Konfiguration erreichbar.
Exploit-Reifegrad
CVE-2026-63030 hat einen EPSS-Wert von 98,4 % und liegt damit im 99,91. Perzentil — praktisch am oberen Ende der Skala für Ausnutzungswahrscheinlichkeit, was auf nahezu sichere aktive Ausnutzung und nicht auf eine Prognose hindeutet. CISA hat die CVE mit Frist 24.07.2026 in den Katalog der Known Exploited Vulnerabilities aufgenommen und bestätigt damit die Ausnutzung in freier Wildbahn; ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft. In den vorliegenden Referenzen ist kein öffentlicher Exploit-Code verlinkt — die Quellen sind das WordPress-Security-Advisory GHSA-ff9f-jf42-662q, die Release-Notes zu WordPress 7.0.2 und der CISA-KEV-Eintrag —, doch die Verkettung ist in der CVE-Beschreibung selbst dokumentiert: Mit CVE-2026-60137, der SQL Injection in author__not_in, wird die Route Confusion zu einem nicht authentifizierten Pfad zur Remote Code Execution. Angesichts der Größe der WordPress-Installationsbasis und der standardmäßig aktiven REST-API sollte bei einer ungepatchten Website von kontinuierlichem Scannen ausgegangen und innerhalb von Stunden, nicht Tagen, aktualisiert werden.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Mitigationen gemäß Herstelleranweisungen anwenden, unter Einhaltung der BOD-26-04-Vorgaben zur risikobasierten Patch-Priorisierung und der „Forensics Triage Requirements" von CISA — oder den Einsatz des Produkts einstellen, falls keine Mitigationen verfügbar sind. Die KEV-Frist ist der 24.07.2026.
- Aktualisieren Sie den WordPress-Kern unverzüglich auf 6.9.5 oder 7.0.2, wie in GHSA-ff9f-jf42-662q und der Ankündigung zu WordPress 7.0.2 beschrieben. Da die Kette zusätzlich CVE-2026-60137 nutzt, schließt dasselbe Update beide Hälften; prüfen Sie anschließend die laufende Version, statt dem Auto-Update-Log zu vertrauen.
- Wo ein Update nicht binnen Stunden möglich ist, sperren oder beschränken Sie den Zugriff auf den REST-API-Batch-Endpunkt auf Webserver- oder WAF-Ebene und begrenzen Sie den REST-API-Zugriff auf authentifizierte Kontexte, damit nicht authentifizierte Anfragen die Diskrepanz der Routenauflösung nicht erreichen.
- Behandeln Sie betroffene Websites als möglicherweise kompromittiert, denn die Ausnutzung ist bestätigt und der Endpunkt führt zur Codeausführung: Webserver-Logs auf Anfragen an den Batch-Endpunkt prüfen, Kern-, Plugin- und Theme-Dateien mit als sauber bekannten Kopien vergleichen, nach neuen Administratorkonten und geplanten Aufgaben suchen und Datenbank-Zugangsdaten, Salts sowie alle in der Options-Tabelle gespeicherten API-Schlüssel rotieren.
- Zur langfristigen Härtung: den WordPress-Kern auf automatische Minor-Updates stellen, die Plugin-Fläche minimieren, die Request-Daten in Query-Argumente weiterreicht, die Website hinter eine WAF legen, die Anfragen normalisiert, bevor sie die Anwendung erreichen, und gezielt auf das Muster von Batch-API-Aufrufen mit anschließend ungewöhnlicher Datenbank- oder Dateisystemaktivität überwachen.
Technische Details
CVE-2026-63030 entsteht durch Route Confusion am REST-API-Batch-Endpunkt von WordPress: Gebündelte Unteranfragen werden anders gegen registrierte Routen abgeglichen, als die umgebende Anfrage validiert wird — ein Interpretationskonflikt (CWE-436) zwischen der Batching-Schicht und der Routing-Schicht. Diese Diskrepanz erlaubt es, eine Batch-Anfrage zu konstruieren, deren Unteranfrage einen Handler erreicht, der normalerweise abgeschirmt wäre, und die NVD-Beschreibung nennt ausdrücklich, dass die Kombination mit der SQL Injection über author__not_in in WP_Query aus CVE-2026-60137 eine SQL Injection und eine Remote Code Execution ermöglicht. Der Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H spiegelt einen über das Netzwerk zugestellten Angriff mit niedriger Komplexität, ohne Rechte und ohne Benutzerinteraktion sowie durchgehend hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit — die Auswirkungen auf Integrität und Verfügbarkeit folgen aus der Codeausführung und nicht aus der Injection allein. Der Scope bleibt unverändert (S:U), weil die kompromittierte Komponente die WordPress-Anwendung selbst ist, wobei Codeausführung auf einem Webhost die Reichweite eines Angreifers üblicherweise auf alles ausdehnt, was dieser Host erreichen kann. Betroffen sind die Versionen 6.9 bis unter 6.9.5 sowie 7.0 bis unter 7.0.2.
Häufig gestellte Fragen
Wird CVE-2026-63030 aktiv ausgenutzt?
Ja. CVE-2026-63030 steht mit Behebungsfrist 24.07.2026 im CISA-Katalog der Known Exploited Vulnerabilities, und der EPSS-Wert von 98,4 % entspricht dem 99,9. Perzentil, was auf nahezu sichere Ausnutzungsaktivität hindeutet. Ein Einsatz durch Ransomware ist derzeit als unbekannt eingestuft, die Schwachstelle ist jedoch als Teil einer Kette dokumentiert, die eine Remote Code Execution erreicht.
Welche Produkte sind von CVE-2026-63030 betroffen?
Betroffen ist der WordPress-Kern in den Versionen 6.9 bis unter 6.9.5 sowie 7.0 bis unter 7.0.2. Die verwundbare Komponente ist der REST-API-Batch-Endpunkt, der auf einer Standard-WordPress-Installation verfügbar ist, und die volle Auswirkung erfordert die SQL Injection über author__not_in aus CVE-2026-60137, die dieselben Releases ebenfalls beheben.
Wie behebe ich CVE-2026-63030?
Aktualisieren Sie den WordPress-Kern ohne Verzug auf 6.9.5 oder 7.0.2 — das behebt sowohl die Route Confusion am Batch-Endpunkt als auch die damit verkettete SQL Injection. Ist ein sofortiges Update unmöglich, beschränken Sie den Zugriff auf den REST-API-Batch-Endpunkt auf Webserver- oder WAF-Ebene und prüfen Sie die Website anschließend auf neue Administratorkonten, veränderte Dateien und Spuren einer Datenbankextraktion.
Wie schwerwiegend ist CVE-2026-63030?
CVE-2026-63030 ist mit einem CVSS-3.1-Basiswert von 9.8 als Kritisch eingestuft, was nicht authentifizierte Ausnutzung aus der Ferne mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit widerspiegelt. Der EPSS-Wert von 98,4 % liegt im 99,9. Perzentil — unter den höchsten Ausnutzungswahrscheinlichkeiten, die überhaupt vergeben werden —, und das dokumentierte Ergebnis der Kette mit CVE-2026-60137 ist eine Remote Code Execution auf dem Webserver.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.