Security · 21.9.2026
Eine kritische CSRF-Schwachstelle im WordPress-Core erlaubt das Einschleusen von Schadcode. Da bereits ein Proof-of-Concept existiert, besteht dringender Handlungsbedarf.
Eine neu entdeckte Cross-Site-Request-Forgery-Schwachstelle (CSRF) namens „Click2Shell“ bedroht WordPress-Instanzen weltweit. Da bereits detaillierte technische Informationen sowie ein funktionierender Proof-of-Concept-Exploit (PoC) veröffentlicht wurden, ist das Risiko für ungepatchte Systeme extrem hoch. Die Schwachstelle betrifft den WordPress-Core und ermöglicht es Angreifern, unter bestimmten Bedingungen beliebigen PHP-Code direkt auf dem Webserver auszuführen.
WordPress ist auch im DACH-Raum das am weitesten verbreitete Content-Management-System für Unternehmens-Websites, Blogs und Kundenportale. Ein erfolgreicher Angriff über diese Schwachstelle setzt zwar voraus, dass ein mit administrativen Rechten ausgestatteter Benutzer eine speziell präparierte Website aufruft oder auf einen schädlichen Link klickt. Ist dies jedoch der Fall, können Angreifer über den injizierten PHP-Code eine Webshell installieren, die vollständige Kontrolle über den Server erlangen, sensible Unternehmensdaten abziehen oder die Website für die Verteilung von Malware missbrauchen.
Administratoren und IT-Verantwortliche in Unternehmen sollten unverzüglich Schutzmaßnahmen ergreifen, um eine Kompromittierung zu verhindern:
Die Verfügbarkeit eines öffentlichen Exploits macht die Click2Shell-Schwachstelle zu einer unmittelbaren Bedrohung. Nur schnelles Handeln und die konsequente Aktualisierung der Systeme können die Integrität der Webserver dauerhaft sichern.
Quelle: BleepingComputer