20. Juli 2026
Beschreibung
In WordPress existieren zwei Sicherheitslücken. Eine
SQL-Injection-Schwachstelle im Parameter „author__not_in“ von
„WP_Query“ betrifft WordPress ab Version 6.8. Ab WordPress 6.9 lässt
sich diese laut Advisory in Kombination mit einer Schwachstelle in der
REST-API (Batch-Route-Confusion) zur Ausführung von beliebigem Code
(Remote Code Execution) ausnutzen. Laut Searchlight Cyber ist diese
Angriffskette ohne vorherige Authentifizierung und ohne weitere
Voraussetzungen in einer Standardinstallation ohne Plugins nutzbar.
Auf GitHub sind mittlerweile mehrere öffentlich verfügbare
Proof-of-Concept-Exploits für CVE-2026-63030 veröffentlicht worden.
Damit ist der Aufwand für eine Ausnutzung deutlich reduziert; CERT.at
rechnet mit Angriffen auf ungepatchte Systeme.
CVE-Nummer(n): CVE-2026-60137, CVE-2026-63030
CVSS Base Score: N/A (Einstufung im GitHub Security Advisory:
CVE-2026-60137 „Moderate“, CVE-2026-63030 „Critical“)
Auswirkungen
In Kombination mit der Schwachstelle in der REST-API ist ab WordPress
6.9 die Ausführung von beliebigem Code auf dem betroffenen System, und
damit eine vollständige Kompromittierung der Webseite und des
darunterliegenden Systems möglich.
Betroffene Systeme
CVE-2026-60137 (SQL Injection):
* WordPress 6.8.0 bis 6.8.5
* WordPress 6.9.0 bis 6.9.4
* WordPress 7.0.0 bis 7.0.1
CVE-2026-63030 (REST-API Batch-Route-Confusion, RCE):
* WordPress 6.9.0 bis 6.9.4
* WordPress 7.0.0 bis 7.0.1
* WordPress 7.1 Beta 1
WordPress-Versionen vor 6.8 sind nicht betroffen.
Abhilfe
WordPress hat korrigierte Versionen veröffentlicht:
* WordPress 7.0.2 (behebt beide Schwachstellen)
* WordPress 6.9.5 (behebt beide Schwachstellen)
* WordPress 6.8.6 (behebt CVE-2026-60137)
* WordPress 7.1 Beta 2 (behebt beide Schwachstellen)
CERT.at empfiehlt, die Aktualisierung umgehend einzuspielen. Das
WordPress.org-Team hat für betroffene Versionen erzwungene Updates über
das Auto-Update-System aktiviert.
Sofern ein Update nicht unmittelbar möglich ist, nennt Searchlight
Cyber folgende temporäre Maßnahmen: Deaktivierung der REST-API für
nicht authentifizierte Benutzer:innen, Blockieren des Pfads
„/wp-json/batch/v1“ sowie des Query-Parameters „rest_route=/batch/v1“
mittels Web Application Firewall (beide Muster müssen blockiert
werden), oder Einsatz eines Plugins, das Batch-Requests an die REST-API
nur für authentifizierte Benutzer:innen zulässt. Diese Maßnahmen können
den regulären Betrieb der Webseite beeinträchtigen und sind nur als
temporäre Notmaßnahme bis zum Update vorgesehen.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
WordPress 7.0.2 Release (Englisch)
[103]https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
Facilitated SQL injection vulnerability in the author__not_in parameter
of WP_Query (Englisch)
[104]https://github.com/WordPress/wordpress-develop/security/advisories
/GHSA-fpp7-x2x2-2mjf
REST API batch-route confusion and SQL injection issue leading to
Remote Code Execution (Englisch)
[105]https://github.com/WordPress/wordpress-develop/security/advisories
/GHSA-ff9f-jf42-662q
wp2shell: Pre Authentication RCE in WordPress Core (Englisch)
[106]https://wp2shell.com/
New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run
Code (Englisch)
[107]https://thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw
-lets.html
Mit freundlichen Grüßen,
Güneş Holler
--
// Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien
15. Juli 2026
Beschreibung
In den SonicWall SMA1000 Series Appliances existieren mehrere
Sicherheitslücken. Die schwerwiegendere der beiden Schwachstellen
ermöglicht es Angreifer:innen aus der Ferne und ohne Authentifizierung,
die Appliance dazu zu bringen, serverseitig Anfragen an eigentlich
nicht erreichbare interne Endpunkte zu senden (Server-Side Request
Forgery). Laut SonicWall PSIRT werden die in diesem Advisory
beschriebenen Schwachstellen bereits aktiv ausgenutzt.
CVE-Nummer(n): CVE-2026-15409, CVE-2026-15410
CVSS Base Score: 10.0
Auswirkungen
CVE-2026-15409 ist eine Server-Side-Request-Forgery-Schwachstelle
(SSRF) im Work-Place-Interface der SMA1000 Appliance. Ein:e
entfernte:r, nicht authentifizierte:r Angreifer:in kann die Appliance
dazu bringen, serverseitig Anfragen an eigentlich nicht erreichbare
interne Endpunkte zu senden. Der Hersteller gibt für diese
Schwachstelle einen CVSS Base Score von 10.0 an.
CVE-2026-15410 ist eine Schwachstelle vom Typ „Improper Control of
Generation of Code“ (Code Injection) in der Appliance Management
Console (AMC), die es unter bestimmten Voraussetzungen einem:einer
entfernten, als Administrator:in authentifizierten Angreifer:in
ermöglichen kann, beliebige Betriebssystembefehle auszuführen. Der
Hersteller gibt für diese Schwachstelle einen CVSS Base Score von 7.2
an.
Betroffene Systeme
Betroffen sind die SMA1000 Modelle 6210, 7210 und 8200v in folgenden
Versionen:
* 12.4.3-03245, 12.4.3-03387 und 12.4.3-03434 (platform-hotfix)
* 12.5.0-02283, 12.5.0-02624 und 12.5.0-02800 (platform-hotfix)
Laut Hersteller sind SSL-VPN auf SonicWall-Firewalls sowie die SMA 100
Series Produktlinie nicht von diesen Schwachstellen betroffen.
Abhilfe
SonicWall stellt einen platform-hotfix bereit, der die Schwachstellen
behebt:
* 12.4.3-03453 (platform-hotfix) und höher
* 12.5.0-02835 (platform-hotfix) und höher
Der aktuelle platform-hotfix steht auf mysonicwall.com zum Download
bereit. Ein Workaround steht laut Hersteller nicht zur Verfügung.
Da eine aktive Ausnutzung beobachtet wurde, empfiehlt SonicWall
zusätzlich, das System auf Anzeichen einer Kompromittierung (Indicators
of Compromise) zu überprüfen. Dazu zählen unter anderem:
* Einträge in extraweb_access.log mit Anfragen an /__api__/login oder
/__api__/logout mit HTTP-Status 200
* Einträge in extraweb_access.log mit Anfragen an /wsproxy mit
auffälligen Host-Parametern und HTTP-Status 101
* Einträge in ctrl-service.log mit Hotfix-Rollbacks mit
Path-Traversal-Namen
* Routen für /__api__/login oder /__api__/logout in
/var/lib/unit/conf.json (diese URIs existieren in einer legitimen
Konfiguration nicht)
Werden IOCs festgestellt, empfiehlt SonicWall, betroffene Appliances
neu aufzusetzen (Hardware: re-image, virtuell: re-deploy),
Benutzer:innen- und Administrator:innen-Passwörter zu ändern sowie
TOTP-Token zurückzusetzen.
Hinweis
Generell empfiehlt CERT.at, sämtliche Software aktuell zu halten und
dabei insbesondere auf automatische Updates zu setzen. Regelmäßige
Neustarts stellen sicher, dass diese auch zeitnah aktiviert werden.
__________________________________________________________________
Informationsquelle(n):
SonicWall SMA1000 Series Appliances Affected By Multiple
Vulnerabilities (Englisch)
[103]https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0008
Mit freundlichen Grüßen,
Güneş Holler
--
// Güneş Holler <holler(a)cert.at> - T: +43 1 5056416 78
// CERT Austria - https://www.cert.at/
// CERT.at GmbH, FB-Nr. 561772k, HG Wien