De Duitse overheid waarschuwt dat een kritieke kwetsbaarheid in WordPress tot grote verstoringen bij bedrijven kan leiden en heeft de impact van het probleem code oranje gegeven. Dit is het op één na hoogste niveau. Via het beveiligingslek, aangeduid als CVE-2026-63030 en WP2Shell, kan een ongeauthenticeerde aanvaller code uitvoeren op de webserver waarop de WordPress-site draait.

WordPress is het populairste contentmanagementsysteem (CMS) op internet. Het heeft volgens W3Techs een marktaandeel van meer dan 41 procent. Naar schatting zouden meer dan een half miljard websites er gebruik van maken. Cybersecuritybedrijf Searchlight Cyber maakt vorige week het bestaan van WP2Shell bekend, maar besloot details vanwege de impact nog niet te vrij te geven.

Cybersecuritybedrijf Wordfence heeft inmiddels iets meer informatie gepubliceerd. Het zou gaan om een probleem dat via het REST API batch request endpoint is te misbruiken en ervoor zorgt dat aanvallers de controle van gebruikersinvoer kunnen omzeilen. Dit maakt SQL Injection mogelijk wat kan leiden tot remote code execution. Proof-of-concept exploitcode is op internet verschenen. Het Nationaal Cyber Security Centrum (NCSC) waarschuwde dit weekend dat het op korte termijn misbruik van het probleem verwacht. Volgens cybersecuritybedrijf Hexastrike is dat al het geval.

Het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, houdt ook rekening met actief misbruik. Volgens het BSI moeten organisaties en bedrijven die gebruikmaken van WordPress onmiddellijk maatregelen nemen, omdat misbruik van het lek tot grote verstoringen van de bedrijfsvoering kan leiden. De Duitse overheidsinstantie hanteert vier kleurcodes om de impact van een kwetsbaarheid aan te geven. Het WP2Shell-lek heeft code oranje gekregen, na code rood het hoogste niveau. WordPress kan updates automatisch installeren, maar dit staat niet bij alle websites ingeschakeld.