WordPress-Sicherheitslücken führen im Juli zu 1.077 Meldungen
WordPress-Sicherheitslücken führten im Juli 2026 zu 1.077 Einreichungen beim Wordfence Bug Bounty Program, 1,0 % mehr als im Vormonat. Laut Wordfence waren 281 Forscher aktiv, ein Rückgang um 8,2 %, während 84 Meldungen als hohe Bedrohung eingestuft wurden, ein Anstieg um 44,8 %. Weitere 73 fielen in die Kategorie „häufig und gefährlich“, eine Zunahme um 62,2 %, und es wurden 15 Regeln für eine web application firewall veröffentlicht, 114,3 % mehr als zuvor. Eine web application firewall filtert schädliche Anfragen, bevor sie eine Website erreichen.
Von den 1.077 Meldungen akzeptierte Wordfence 243 als im Geltungsbereich liegend, stufte 17 als außerhalb des Geltungsbereichs ein, lehnte 610 ab und identifizierte 207 als Duplikate. Das Verfahren umfasst die technische Validierung, die Kontaktaufnahme mit dem betroffenen Anbieter, die Bestätigung eines Patches und gegebenenfalls die Abdeckung durch die firewall. Laut Wordfence erhalten Premium-, Care- und Response-Kunden den jeweils anwendbaren firewall-Schutz in Echtzeit, während kostenlose Nutzer ihn nach 30 Tagen erhalten. Anbieter können das kostenlose Portal für das Schwachstellenmanagement nutzen, um Meldungen zu ihrer Software nachzuverfolgen.
Das Programm definiert Funde mit hoher Bedrohung als Sicherheitslücken, die eine vollständige Kompromittierung einer Website ermöglichen können, darunter uneingeschränkte Datei-Uploads oder Remote Code Execution, also die Ausführung von Befehlen auf dem Server, die ein Angreifer ausgewählt hat. Diese müssen ohne Konto oder über ein Konto mit niedriger Berechtigungsstufe in Software mit mindestens 25 aktiven Installationen ausnutzbar sein. Die Kategorie „häufig und gefährlich“ umfasst gespeichertes cross-site scripting, bei dem schädlicher Code gespeichert und später in den Browsern von Besuchern ausgeführt wird, sowie SQL injection, bei der bösartige Datenbankbefehle über ungeschützte Eingaben eingeschleust werden. Diese Funde müssen Software mit mindestens 500 Installationen betreffen und für nicht authentifizierte Angreifer oder Angreifer mit geringen Berechtigungen erreichbar sein.
Wordfence vergab im Juli 51.183 US-Dollar, durchschnittlich 210,63 US-Dollar für jede validierte, berechtigte Einreichung. Die höchste Einzelprämie betrug 15.600 US-Dollar für einen nicht authentifizierten, beliebigen Datei-Upload in Elementor Pro 4.2.1 und früheren Versionen, der durch die Umgehung der Validierung eines Upload-Feld-Arrays verursacht wurde. Für die Software waren 5 Millionen Installationen angegeben. Weitere hohe Prämien waren 2.048 US-Dollar für eine gefälschte Upload-Feld-Konfiguration in Forminator Forms 1.56.1 und früheren Versionen bei 600.000 Installationen, 975 US-Dollar für einen authentication bypass in User Profile Builder 3.16.4 und früheren Versionen, der zur Übernahme als Administrator führen konnte, bei 40.000 Installationen, 804 US-Dollar für nicht authentifiziertes, gespeichertes cross-site scripting in Independent Analytics 2.15.0 und früheren Versionen bei 100.000 Installationen sowie 800 US-Dollar für nicht authentifizierte SQL injection in Unlimited Elements For Elementor 2.0.16 und früheren Versionen bei 300.000 Installationen.
CWE, oder Common Weakness Enumeration, ist ein Standardkatalog zur Klassifizierung von Fehlern bei der Softwaresicherheit. Die am häufigsten akzeptierte Klasse war CWE 79 für unsichere Ausgaben bei der Erzeugung von Webseiten, mit 80 Einreichungen, Gesamtprämien von 13.415 US-Dollar und einem Durchschnitt von 167,69 US-Dollar. Gefährliche Datei-Uploads, CWE 434, führten zu 18 Einreichungen, erzielten mit 21.909 US-Dollar jedoch die höchste Auszahlung aller Kategorien und lagen im Durchschnitt bei 1.217,17 US-Dollar. SQL injection kam ebenfalls auf 18 Einreichungen und wurde mit insgesamt 2.968 US-Dollar vergütet. Weitere häufige Klassen umfassten unsachgemäßes Berechtigungsmanagement mit 16 Meldungen, Fehler bei eingeschränkten Pfaden mit zehn, unsachgemäße Authentifizierung mit elf, die Umgehung der Autorisierung durch nutzergesteuerte Eingaben mit neun, fehlende Autorisierung mit neun, unsichere Code-Erzeugung mit drei und authentication bypass über alternative Pfade mit zwei. Einzelne Funde zu fehlerhafter Typumwandlung und zur Deserialisierung nicht vertrauenswürdiger Daten wurden mit 975 beziehungsweise 615 US-Dollar vergütet.
Nicht authentifizierte Sicherheitslücken dominierten die aufgeführten Zugriffskategorien mit 163 Schwachstellen und einer durchschnittlichen Prämie von 350,84 US-Dollar. Auf Sicherheitslücken auf Subscriber-Ebene entfielen 60 Fälle mit durchschnittlich 133,37 US-Dollar, während 14 nicht authentifizierte Funde, die eine Interaktion über eine Benutzeroberfläche erforderten, im Durchschnitt 74 US-Dollar erzielten. Vier Fälle mit benutzerdefiniertem Zugriff lagen durchschnittlich bei 19,67 US-Dollar. Auch die Zahl der Installationen beeinflusste die Priorisierung. Die größte Gruppe umfasste Software mit 1.000 bis 49.999 Installationen und machte 81 Funde mit einem durchschnittlichen CVSS-Wert von 7,4 sowie einer durchschnittlichen Prämie von 147,53 US-Dollar aus. CVSS, das Common Vulnerability Scoring System, bewertet den technischen Schweregrad auf einer numerischen Skala. Software außerhalb des Repositorys führte zu 31 Funden, einem durchschnittlichen Wert von 9,0 und einer durchschnittlichen Prämie von 871,60 US-Dollar. Auf Software mit 100.000 bis 999.999 Installationen entfielen 38 Funde mit einer durchschnittlichen Prämie von 384,87 US-Dollar.
Der folgenreichste Fall betraf die WordPress-Core-Versionen 6.9 bis 7.0.1. Ein Forscher von Assetnote / Searchlight Cyber stellte fest, dass der Batch-Endpoint der REST API unter /wp-json/batch/v1 für Remote Code Execution missbraucht werden konnte. Eine REST API ist eine Schnittstelle, über die Software strukturierte Anfragen an eine andere Anwendung sendet. Laut der Analyse von Wordfence konnten die Prüfung und Validierung von Routes aus dem Takt geraten, sodass eine validierte Unteranfrage einen unbeabsichtigten Callback erreichte. Dadurch wurden die allow_batch-Beschränkung und die Input-Sanitisation der Ziel-Route umgangen, während die vom Angreifer kontrollierten Parameter erhalten blieben. Die Schwachstelle konnte anschließend mit SQL injection zu einer Angriffskette verbunden werden, um Code auf dem Server auszuführen.
Das WordPress Security Team veröffentlichte am Freitag, dem 17. Juli 2026, die Versionen 6.8.6, 6.9.5 und 7.0.2. Die Veröffentlichung behob zwei Sicherheitslücken, die zu einer Angriffskette für nicht authentifizierte Remote Code Execution kombiniert werden konnten, eine Kombination, die allgemein als wp2shell bezeichnet wird. WordPress beschrieb die Probleme als eine kritische Sicherheitslücke und eine Sicherheitslücke mit hohem Schweregrad und aktivierte wegen des Schweregrads erzwungene automatische Updates für betroffene Releases.
Ein separater Vorfall betraf Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick in den Versionen 10.8.7 und 10.8.8. Wordfence PRISM entdeckte innerhalb von zwei Stunden nach ihrer Einführung eine fest codierte backdoor. Die Funktion _arve_uc_init() des Plugins wurde bei jeder Anfrage frühzeitig ausgeführt und akzeptierte über den Parameter _wplogin oder _wpm ein Token. Sie verglich dieses Token mit einem festen SHA-256-Wert, der in öffentlich zugänglichem Source Code eingebettet war, ohne nonce, Berechtigungsprüfung oder Passwortvalidierung. Ein nonce ist ein einmalig verwendeter Wert, der zeigen soll, dass eine Anfrage von einer erwarteten Seite oder Session stammt. Jeder, der über das universelle Token verfügte, konnte ein bestehendes Administratorkonto auswählen und die vollständige Kontrolle über die Website erlangen. Wordfence ging davon aus, dass ein Angreifer den Code wahrscheinlich eingeschleust hatte, nachdem er Commit-Zugriff auf das Konto des Entwicklers erlangt hatte; diese Ursache wurde jedoch nicht bestätigt.
Websitebetreiber sollten die Sicherheits-Releases für WordPress Core installieren und jedes aufgeführte Plugin auf Updates prüfen oder entfernen. Sie sollten außerdem die Liste der Administratoren auf unbekannte Konten prüfen, insbesondere wenn das betroffene Video-Plugin installiert war. Für Organisationen, die den Hosting-Betrieb als Managed Service abwickeln lassen möchten, bietet AEU Hosting vollständig abgesichertes Managed WordPress Hosting. Die Ergebnisse vom Juli verdeutlichen, dass schnelle Updates weiterhin unverzichtbar sind, da die schwerwiegendsten Funde kein bestehendes Konto erforderten und eine gesamte Website gefährden konnten.