Der Sicherheitsforscher Adam Kues von Searchlight Cyber deckte mit OpenAIs GPT-5.6 Sol Ultra eine kritische WordPress-Kernlücke auf, die unangemeldeten Angreifern die vollständige Serverübernahme erlaubt. Die Analyse kostete rund 25 Dollar und dauerte gut zehn Stunden. Für eine vergleichbare, unabhängig nicht verifizierte Lücke zahlen Exploit-Händler laut Searchlight Cyber bis zu 500.000 Dollar.
KI-Agent verkettet zwei Fehler zu einer vollständigen Übernahme
Kues passte für die Suche einen Prompt an, den er zuvor für mathematische Probleme genutzt hatte. Er entfernte die Versionshistorie aus dem WordPress-Quellcode und ließ bis zu vier Instanzen von GPT-5.6 Sol Ultra parallel mindestens sechs Stunden lang nach einem Weg zu unangemeldeter Codeausführung suchen. Einen ersten Ansatzpunkt fand das Modell bereits innerhalb weniger Minuten, die vollständige Kette stand nach gut zehn Stunden. GPT-5.6 Sol Ultra ist als OpenAI-Modell in den Tarifen ChatGPT Work Pro, Enterprise und Codex Plus verfügbar.
Das Ergebnis verbindet zwei einzeln bekannte Schwachstellen zu einem Angriffspfad mit dem Namen wp2shell. Eine Verwechslung von REST-API-Routen (CVE-2026-63030, CVSS-Wert 9,8) verschafft zunächst lesenden Zugriff auf interne Datenbankinhalte. Eine SQL-Injection im Parameter author__not_in (CVE-2026-60137, CVSS-Wert 5,9) erweitert diesen Zugriff über präparierte oEmbed-Cache-Einträge und manipulierte Customizer-Änderungssätze bis zur vollständigen Codeausführung auf dem Server. Der Angriff benötige laut Searchlight Cyber keine Voraussetzungen und funktioniere bereits bei einer unangemeldeten Standardinstallation ohne zusätzliche Plugins.
WordPress erzwingt Sicherheitsupdate, erste Angriffe laufen bereits
Betroffen sind die WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1, in denen sich beide Fehler zur vollständigen Codeausführung verketten lassen. Die SQL-Injection allein steckt zusätzlich in den älteren Versionen 6.8.0 bis 6.8.5, dort lässt sie sich jedoch nicht bis zur Codeausführung fortsetzen. WordPress hat beide Lücken in den Versionen 6.9.5 und 7.0.2 geschlossen und für betroffene Installationen automatische Pflicht-Updates aktiviert, sodass ein Großteil der Websites die Korrektur ohne manuelles Zutun erhalten sollte.
Unabhängige Forscherinnen und Forscher reproduzierten die vollständige Angriffskette, bevor Searchlight Cyber sie öffentlich machte; das Unternehmen verzögerte die Veröffentlichung gezielt, um Betreiberinnen und Betreibern Zeit für Updates zu verschaffen. Nach der Veröffentlichung eines Machbarkeitsnachweises registrierte die Sicherheitsfirma watchTowr bereits erste Anzeichen aktiver Ausnutzung. WordPress treibt weltweit mehr als 500 Millionen Websites an, weshalb Fachleute schnelles Patchen unabhängig vom Einzelrisiko als wichtigste Sofortmaßnahme einstufen. Betreiberinnen und Betreiber sollten die eigene Versionsnummer im Dashboard kontrollieren, falls automatische Updates deaktiviert sind.
KI-gestützte Fehlersuche verändert das Tempo der Sicherheitsforschung
Der Fund reiht sich in einen Trend ein, den beckmann.ai bereits im Juli beschrieben hat: KI-Bug-Hunting lässt die Zahl gemeldeter CVEs explodieren. Sprachmodelle durchsuchen Quellcode inzwischen in einem Tempo und zu Kosten, die manuelle Audits kaum noch erreichen. Klassische Sicherheitsprüfungen für eine Software von der Größe und Bedeutung von WordPress dauern üblicherweise Tage bis Wochen und kosten ein Vielfaches der rund 25 Dollar, die Kues für seine vier KI-Agenten aufwendete.
Die Kostenverschiebung wirkt nach zwei Seiten. Verteidigende Teams finden gravierende Schwachstellen billiger und schneller, bevor Kriminelle sie ausnutzen können. Gleichzeitig stehen dieselben Werkzeuge grundsätzlich auch Angreifenden offen, die anders als Sicherheitsfirmen keine verantwortungsvolle Offenlegung einhalten müssen. Für Betreiberinnen und Betreiber von Websites bedeutet das vor allem, dass die Zeitspanne zwischen einer neu entdeckten Lücke und ersten Angriffen im Internet tendenziell kürzer wird – automatische Updates wie die von WordPress erzwungenen werden dadurch zu einer zentralen Schutzmaßnahme statt einer bloßen Empfehlung.
Offen bleibt, ob Anbieter kommerzieller KI-Modelle ihre Sicherheitsfilter künftig so anpassen, dass legitime Verteidigungsforschung nicht ausgebremst wird, während dieselben Fähigkeiten Angreifenden ungehindert offenstehen. Entscheidend wird außerdem, wie schnell Betreiberinnen und Betreiber betroffener Websites die erzwungenen Updates tatsächlich einspielen: Bei früheren WordPress-Kernlücken blieb ein erheblicher Teil der Installationen noch Monate nach Veröffentlichung eines Patches ungeschützt.
