Intelligence View

⚡ tsecurity.de Intelligence

Hackers Can Take Over WordPress Websites Without a Password Using Two Security Flaws

Hackers can compromise vulnerable WordPress websites without stealing passwords by chaining two security flaws in the platform’s core. Disclosed in July 2026, t…

Sicherheitslücken (CVE) GBHackers Security | #1 Globally Trusted Cyber Security News Platform 20.10.2026, 12:35 Uhr 1 Min. Lesezeit CAPEC-34 KEV ACTIVE EPSS 10.6% Cloud & IT-Enterprise 0-CLICK

BeitragSeite↗ Quelle (GBHackers Security | #1 Globally Trusted Cyber Security News Platform)

Hackers can compromise vulnerable WordPress websites without stealing passwords by chaining two security flaws in the platform’s core. Disclosed in July 2026, the chain involves CVE-2026-63030 and CVE-2026-60137. Unlike attacks dependent on vulnerable extensions, WP2Shell affects default WordPress installations without requiring a third-party... Weiterlesen: Hackers Can Take Over WordPress Websites Without a Password Using Two…

Cyber Threat Intelligence & Forensik

ATT&CK-Navigator · IoC-Radar · Exploit-Belege

MITRE ATT&CK Matrix Navigator

0 belegte Techniken · 1 CAPEC-Ansatz

CAPEC-34Angriffsansatz

HTTP Response Splitting

Ansatz über die CWE➔CAPEC-Kette belegt — ATT&CK dokumentiert hierfür keine Technik-Zuordnung.

IoC Intelligence

2 Indikatoren · Defanged · STIX 2.1

CVE-2026-63030CVE-2026-60137

CTI Threat Relationship Graph

Akteure · Techniken · Beziehungen

2 Knoten · 1 Relationen

CVE / Incident Threat Actor Software MITRE ATT&CK CWE Weakness IoC

Exploit & Remediation Lifecycle

PoC · Ausnutzung · Patch-Stufen

CVE-2026-63030

Entdeckung & Meldung

Schwachstelle identifiziert & registriert

Sicherheits-Advisory

Offizielle Warnung & CVE-Zuweisung

Exploit / PoC

Öffentlicher Nachweis/Code verfügbar (Exploit-DB/EUVD)

In-the-Wild Ausnutzung

Aktive Angriffe beobachtet (CISA KEV / EPSS)

Patch & Schutzmaßnahmen

Upstream-Patch-Referenz vorhanden (Commit-/Advisory-Link)

Exploit Weaponization & PoC Radar

Nur belegte Faktoren · kein Score-Theater

CRITICAL WEAPONIZED · Index 90/100

Exploit-DB

Kein EDB-Eintrag

Interaktion

0-Click

Authentifizierung

Nicht erforderlich

Öffentliche PoC-Quellen:Metasploit-Modul: auxiliary_scanner/http/wordpress_wp2shell_sqli Metasploit-Modul: exploit_multi/http/wp_batch_desync_rce GitHub PoC: Icex0/wp2shell-poc GitHub PoC: attackercan/wp2shell-poc2 GitHub PoC: ZephrFish/wp2shell-scanner

CWE-Schwachstellen-Taxonomie & Defensive Architektur

Schwachstellen-Klassen · Root Cause · Mitigation

MITRE CWE Matrix

CWE-436 Software-Schwachstellen-Klasse CWE-436

Allgemeine Sicherheitsarchitektur

Wurzelursache (Root Cause)

Spezifische Schwachstelle gemäß MITRE CWE-Katalog.

Exploitation-Mechanik

Potenzielle Beeinträchtigung von Vertraulichkeit, Integrität oder Verfügbarkeit.

Defensive Architektur

Upstream-Advisory und herstellerspezifische Richtlinien für sichere Programmierung prüfen.

Compliance, SLA & Vendor Adherence

Advisory-Prüfung · Score-Einordnung · Fristen

CVSS 9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Impact: 5.87 | Exploitability: 3.89

AVN

Netzwerk (Remote)

Aus der Ferne über das Internet ohne Vorbedingungen exploitbar.

ACL

Niedrig (Low)

Wiederholbar und deterministisch ohne spezielle Race Conditions ausnutzbar.

PRN

Keine (Unauthenticated)

Vollständig unauthentifiziert ohne Benutzerkonto exploitbar.

UIN

Keine (Zero-Click)

Autonom ohne menschliches Zutun ausführbar (Zero-Click Exploitation).

Unverändert (Scope Unchanged)

Auswirkungen verbleiben isoliert in der angreifbaren Anwendungskomponente.

Hoch (Totaler Abfluss)

Vollständiger Zugriff auf alle sensiblen Datenbank- und Speicherinhalte.

Hoch (Volle Manipulation)

Vollständige Modifikation von Dateien, Parametern oder Ausführung von Code.

Hoch (Totaler Ausfall / DoS)

Dienst oder Server wird komplett unbrauchbar (Denial of Service).

NVD Primärbewertung & CISA SSVCCVE-2026-63030

NVD: AnalyzedNVD 9.8 · CRITICAL

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

NVD-Datenstand: 08.10.2026, 10:35 UTC

Ausnutzung beobachtet: Ja — aktiv Automatisierbar: Ja Technischer Impact: Total

CISA KEV seit 21.07.2026 Frist: 24.07.2026

Required Action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discon

BSI-Warnung (Deutschland)CVE-2026-63030

WordPress: Mehrere Schwachstellen ermöglichen Codeausführung kritisch19.07.2026

CISA-SSVC-Triage (vulnrichment)CVE-2026-63030

Exploitation: active (Aktiv ausgenutzt)Automatable: yes (Automatisierbar)Technical Impact: total (Vollständig)

Quelle: CISA-ADP vulnrichment · Stand 2026-07-22T03:55:47.123838Z · CISA Coordinator

Advisory Radar