Kritische Sicherheitslücke in WordPress: SQL Injection und Remote Code Execution (CVE-2026-63030)
Eine kritische Sicherheitslücke mit der ID CVE-2026-63030 wurde in WordPress-Versionen 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2 entdeckt. Diese Schwachstelle betrifft die REST API und ermöglicht in Kombination mit einer weiteren SQL Injection (CVE-2026-60137) Angreifern, schadhaften Code auszuführen.
Was ist passiert?
Eine kritische Sicherheitslücke mit der ID CVE-2026-63030 wurde in WordPress-Versionen 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2 entdeckt. Diese Schwachstelle betrifft die REST API und ermöglicht in Kombination mit einer weiteren SQL Injection (CVE-2026-60137) Angreifern, schadhaften Code auszuführen. Dadurch können Unbefugte potenziell die Kontrolle über betroffene Systeme erlangen.
Wer ist betroffen?
Betroffen sind alle Installationen von WordPress, die die Versionen 6.9.x vor 6.9.5 oder 7.0.x vor 7.0.2 nutzen. Unternehmen, die ihre Webseiten oder Online-Dienste auf diesen spezifischen WordPress-Versionen betreiben, sind einem erhöhten Risiko ausgesetzt. Es ist entscheidend, die genaue Version Ihrer WordPress-Installation zu überprüfen.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.8 als 'CRITICAL' eingestuft, was auf ein sehr hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 9 %. Obwohl die Schwachstelle derzeit nicht in der CISA KEV-Liste für aktiv ausgenutzte Sicherheitslücken geführt wird, sollte die hohe Kritikalität ernst genommen werden.
Was ist jetzt zu tun?
Prüfen Sie umgehend die installierte WordPress-Version Ihrer Systeme. Aktualisieren Sie alle betroffenen WordPress-Installationen auf die Version 6.9.5 oder höher, beziehungsweise auf 7.0.2 oder höher. Führen Sie vor dem Update eine vollständige Sicherung Ihrer Webseite durch, um Datenverlust zu vermeiden.
Quellen: NVD (CVE-2026-63030), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.