CVE-2026-60137: SQL-Injection im WordPress-Kern, bereits auf der KEV-Liste der CISA

CVE-2026-60137: SQL-Injection im WordPress-Kern, bereits auf der KEV-Liste der CISA

In Kürze

Es wurde eine SQL-Injection-Schwachstelle im WordPress-Kern veröffentlicht, identifiziert als CVE-2026-60137, die bereits im Katalog aktiv ausgenutzter Schwachstellen (KEV) der CISA aufgeführt ist [2]. Sie betrifft WordPress-Installationen in mehreren Versionszweigen [1]. Wenn Sie eine WordPress-Website verwalten, ist die heutige Maßnahme einfach: die Version Ihres Kerns überprüfen und so schnell wie möglich aktualisieren.

Was es ist und warum es wichtig ist

CVE-2026-60137 ist ein Fehler bei der Bereinigung des Parameters author__not_in in WP_Query, einer internen Komponente des WordPress-Kerns. Laut offizieller Beschreibung ermöglicht das Problem SQL-Injection, wenn ein Plugin oder Theme nicht vertrauenswürdige Eingaben an diesen Parameter übergibt [1]. Es ist mit einem CVSS-Score von 5.9 und dem Schweregrad „mittel" gemäß NVD eingestuft [1], veröffentlicht am 17. Juli 2026 [1].

Was die Dringlichkeit erhöht, ist nicht der Score allein, sondern zwei Faktoren: Erstens hat CISA es bereits in seinen KEV-Katalog aufgenommen, was auf bestätigte aktive Ausnutzung in der realen Welt hindeutet [2]. Zweitens hat unser OCIRIA-Bedrohungsradar festgestellt, dass sich dieser Fehler mit einer weiteren Schwachstelle, CVE-2026-63030, verketten lässt, um Remotecodeausführung ohne vorherige Authentifizierung zu erreichen [3]. Das heißt: Auch wenn die SQL-Injection allein bereits ernst ist, ist das reale Risiko für viele Websites größer, als der CVSS-Wert allein nahelegt, da ein Angreifer durch die Kombination beider Fehler die Kontrolle über den Server übernehmen könnte [3].

Es sei betont, dass dieser letzte Punkt – die Verkettung mit CVE-2026-63030 – ein Ergebnis unserer eigenen Analyse ist und keine Angabe, die in der NVD oder im KEV-Register erfasst ist [3]; wir teilen ihn, weil wir glauben, dass er nützlichen Kontext für die Priorisierung der Reaktion liefert.

Wen betrifft es

Laut offiziellen Angaben sind folgende WordPress-Versionen betroffen: 6.8.x vor 6.8.6, 6.9.x vor 6.9.5 und 7.0.x vor 7.0.2 [1]. Der betroffene Hersteller ist WordPress [1]. In der Praxis umfasst dies einen sehr großen Teil des Ökosystems, da WordPress eines der meistgenutzten Content-Management-Systeme für Unternehmen jeder Größe ist: Online-Shops, Firmenwebsites, Blogs, Intranets und Portale zur Kundengewinnung.

Das Risiko materialisiert sich vor allem dann, wenn installierte Plugins oder Themes Benutzereingaben (zum Beispiel Suchparameter, Filter oder Formulare) direkt an die betroffene Funktion WP_Query weitergeben, wie es das technische Datenblatt selbst beschreibt [1]. Je mehr Drittanbieter-Plugins eine Website installiert hat, desto größer ist die potenzielle Angriffsfläche.

Wie Sie feststellen, ob Sie betroffen sind

Man muss keine technische Person sein, um eine erste Überprüfung durchzuführen:

• Gehen Sie in das WordPress-Administrationspanel und überprüfen Sie die Kernversion im Bereich „Aktualisierungen". Wenn sie älter als 6.8.6, 6.9.5 oder 7.0.2 ist, fällt Ihre Installation in den betroffenen Bereich [1].
• Überprüfen Sie, welche Plugins und Themes aktiv sind, insbesondere solche, die Auflistungen, Suchen oder Inhaltsfilter anzeigen, da diese am ehesten mit WP_Query interagieren.
• Wenn Sie mehrere Websites oder Domains verwalten (Agenturen, Franchises, Unternehmensgruppen), sollten Sie ein aktuelles Inventar darüber führen, welches CMS und welche Version auf jedem öffentlichen Asset läuft. Es kommt häufig vor, „vergessene" Installationen zu entdecken, die niemand aktualisiert.
• Die tatsächlich dem Internet ausgesetzte Angriffsfläche zu überprüfen – welche Domains, Subdomains und Administrationspanels von außen sichtbar sind – ist der erste Schritt, bevor Sie Prioritäten für das Patchen festlegen.

Wie Sie sich schützen

1. Aktualisieren Sie WordPress Core so bald wie möglich auf die neueste Version innerhalb Ihres Zweigs (6.8.6, 6.9.5, 7.0.2 oder höher) [1].

2. Überprüfen Sie Plugins und Themes, die mit Auflistungen oder dynamischen Abfragen interagieren, und aktualisieren Sie diese ebenfalls, da der Fehler ausgelöst wird, wenn sie ungefilterte Daten an den Kern weitergeben [1].

3. Priorisieren Sie öffentlich exponierte Websites mit vom Internet aus zugänglichen Administrationspanels, da diese CVE laut CISA bereits aktiv ausgenutzt wird [2].

4. Erstellen Sie vor der Aktualisierung ein Backup, als bewährte Standardpraxis bei jedem Sicherheitspatch.

5. Wenn Sie mehrere Websites verwalten, automatisieren Sie die Versionskontrolle, um nicht auf regelmäßige manuelle Überprüfungen angewiesen zu sein.

Kurze FAQ

Ist es eine kritische Schwachstelle? Laut NVD ist der Schweregrad „mittel" mit einem CVSS-Wert von 5.9 [1]. Die Aufnahme in den KEV-Katalog der CISA deutet jedoch auf bestätigte aktive Ausnutzung hin [2], und unsere interne Analyse weist auf ein Risiko der Remotecodeausführung hin, wenn es mit einem weiteren Fehler kombiniert wird [3]. Daher empfehlen wir, es trotz des moderaten Scores mit hoher Priorität zu behandeln.

Betrifft es alle WordPress-Websites? Nur solche, die Versionen innerhalb der angegebenen Bereiche ausführen (6.8.x vor 6.8.6, 6.9.x vor 6.9.5, 7.0.x vor 7.0.2) [1]. Die Aktualisierung des Kerns löst das Problem.

Reicht es aus, den Kern zu aktualisieren? Das ist der wesentliche Schritt, aber es empfiehlt sich, auch aktive Plugins und Themes zu überprüfen, da diese den Angriffsweg eröffnen, indem sie unvalidierte Daten an die betroffene Komponente weitergeben [1].

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-60137
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json