Sicherheitslücke in WordPress: SQL Injection durch unsichere Parameter (CVE-2026-60137)

Was ist passiert?

Eine Sicherheitslücke (CVE-2026-60137) wurde in bestimmten WordPress-Versionen entdeckt. Sie betrifft die unsachgemässe Bereinigung des `author__not_in`-Parameters in der `WP_Query`-Funktion. Dies kann zu einer sogenannten SQL Injection führen, wenn ein Plugin oder Theme unsichere Eingaben an diesen Parameter weitergibt. Eine SQL Injection ermöglicht Angreifern, unerlaubt auf die Datenbank zuzugreifen oder diese zu manipulieren.

Wer ist betroffen?

Betroffen sind alle Installationen von WordPress in den Versionen 6.8.x vor 6.8.6, 6.9.x vor 6.9.5 sowie 7.0.x vor 7.0.2. Unternehmen, die eine dieser älteren WordPress-Versionen für ihre Website nutzen, sind potenziell gefährdet. Die Schwachstelle tritt auf, wenn ein installiertes Plugin oder Theme unsichere Daten an den betroffenen Parameter übergibt.

Wie kritisch ist es?

Die Schwachstelle wird mit einem CVSS-Score von 5.9 als "MEDIUM" eingestuft, was auf ein mittleres Risiko hindeutet. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage (EPSS) liegt bei 4 %. Allerdings ist die aktive Ausnutzung dieser Schwachstelle bereits bekannt und wird seit dem 20. Juli 2026 im CISA KEV-Katalog gelistet. Dies bedeutet, dass Angreifer diese Lücke bereits aktiv für Attacken nutzen.

Was ist jetzt zu tun?

Es wird dringend empfohlen, Ihre WordPress-Installation umgehend auf eine sichere Version zu aktualisieren. Konkret bedeutet dies ein Update auf WordPress 6.8.6, 6.9.5 oder 7.0.2, je nachdem welche Hauptversion Sie nutzen. Stellen Sie sicher, dass alle Plugins und Themes ebenfalls auf dem neuesten Stand sind und von vertrauenswürdigen Quellen stammen, um das Risiko weiter zu minimieren. Führen Sie vor dem Update ein vollständiges Backup Ihrer Website durch.

Quellen: NVD (CVE-2026-60137), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.