WordPress core (CVE-2026-60137)

Op 17 juli 2026 bracht WordPress de versies 7.0.2, 6.9.5 en 6.8.6 uit om twee fouten in de kern te dichten. Volgens Patchstack kwamen de eerste misbruikpogingen zo’n 90 minuten later al binnen op zijn sensoren. Dit artikel gaat over de SQL injection-helft van dat paar. Op zichzelf is die middelmatig. In combinatie met CVE-2026-63030 geeft hij een anonieme aanvaller de hele site.

Wat is CVE-2026-60137

WP_Query is de klasse waarmee WordPress berichten uit de database ophaalt. De parameter author__not_in, via de REST API bereikbaar als author_exclude, werd niet goed opgeschoond, waardoor een gemanipuleerde waarde in de SQL-query belandde: een klassieke SQL injection. WordPress spreekt van een “facilitated” injectie. Volgens de NVD-omschrijving werkt hij op zichzelf alleen als een plugin of thema onbetrouwbare invoer aan de parameter doorgeeft, en Patchstack merkt op dat hij gegevens kan lezen maar niet schrijven. Dat verklaart de CVSS-score van 5.9 van de CNA, WPScan. De ADP van CISA komt op 9.1, en per 1 oktober 2026 heeft NIST geen eigen score gepubliceerd. De kwetsbare code kwam erin met WordPress 6.8; oudere versies zijn niet getroffen.

Vanaf 6.9 levert een tweede fout het ontbrekende stuk. CVE-2026-63030 is een routeverwarring in het batch-endpoint van de REST API (/batch/v1): een subverzoek wordt gecontroleerd voor de ene handler en daarna door een andere uitgevoerd. Volgens Patchstack kan een niet-ingelogd verzoek zo de SQL injection langs het schema smokkelen dat de invoer normaal zou opschonen. De openbare exploit gebruikt de injectie vervolgens om gegevens te vervalsen waar WordPress zelf op handelt, met een nieuw beheerdersaccount als eindresultaat. Dat is privilege escalation van anonieme bezoeker naar beheerder, en daarna is de rest volgens Patchstack routine: een plugin uploaden die eigenlijk een webshell is, en code op de server uitvoeren. Adam Kues van Assetnote / Searchlight Cyber meldde de keten en publiceerde hem onder de naam “wp2shell”; de injectie zelf werd gemeld door TF1T, dtro en haongo.

Wat de aanvallers deden

Dit was een n-day, geen zero-day: eerst kwam de patch, daarna de aanvallen. De fix stond ongeveer anderhalf uur vóór de release in de openbare code van WordPress, en Patchstack noemt die commit in feite de bekendmaking: iedereen kon de wijziging bekijken. De eerste misbruikpogingen volgden drie uur na de commit. Het Amerikaanse CISA zette beide CVE’s op 21 juli op zijn lijst van actief misbruikte kwetsbaarheden, dezelfde dag waarop het NCSC meldde dat misbruik was waargenomen. Het Duitse BSI gaf de situatie niveau 3 van 4 (oranje) en sprak van actief misbruik.

Patchstack omschreef de eerste dagen als een stormloop van veel verschillende partijen in plaats van één gecoördineerd botnet; in zijn data probeerden maar drie IP-adressen de volledige keten tot een beheerdersaccount. CrowdSec telde 62.802 unieke aanvallende IP-adressen in de 15 dagen tot 23 augustus 2026 en beschouwde de fout toen nog steeds als actief misbruikt. Er is ook gericht misbruik: GreyNoise beschrijft een actor die het Kapibala noemt, naar zijn inschatting vermoedelijk Chineestalig, die de keten vanaf ongeveer 20 juli inzette en daarmee bij minstens 49 organisaties in 29 landen succes had, onder meer vier in Duitsland en één in Nederland. Bij één westerse overheidsinstantie stal de actor meer dan 18.000 records.

Waarom een 5.9 toch spoed verdiende

Wie op losse CVSS-scores prioriteert, had deze CVE in het volgende onderhoudsvenster gezet. Dat is de les: aanvallers denken in ketens, dus beoordeel een middelmatige fout samen met alles waarmee hij te combineren is. De tweede les gaat over tijd. Negentig minuten tussen patch en aanval laat geen ruimte voor een wijzigingsproces, en de afgedwongen automatische update helpt alleen waar hij ook echt aankomt. CrowdSec zag tienduizenden adressen nog steeds sites vinden waar dat niet zo was: automatische updates uitgezet, een hoster die de versie vastzet, of een stagingkopie waar niemand eigenaar van is. Dat zijn verouderde componenten in hun zuiverste vorm.

Wat u nu moet doen

• Controleer welke versie er werkelijk draait op elke WordPress-installatie, ook op staging-, test- en vergeten campagnesites. Ga er niet van uit dat de afgedwongen update is aangekomen.
• Draai de nieuwste release. Per 1 oktober 2026 is dat 7.1.2, die ook CVE-2026-87902 verhelpt, een aparte kernfout die CISA sinds 25 september als misbruikt vermeldt. Voor deze CVE alleen is het minimum 7.0.2, 6.9.5 of 6.8.6.
• Draaide een site na 17 juli 2026 een kwetsbare 6.9- of 7.0-versie, zoek dan naar beheerders die u niet hebt aangemaakt, plugins die u niet kent, PHP-bestanden onder wp-content/uploads en alles in wp-content/mu-plugins.
• Kunt u niet direct updaten? Blokkeer zowel /wp-json/batch/v1 als ?rest_route=/batch/v1 aan de rand van het netwerk, en test de regel ook tegen de variant met rest_route in de POST-body. CrowdSec en Patchstack troffen regels aan die alleen naar de URL keken.
• Bouwt u plugins of thema’s? Geef verzoekinvoer nooit ongecontroleerd door aan WP_Query; zet auteur-ID’s eerst om naar gehele getallen. Zie invoervalidatie.
• Neem uw WordPress-sites op in een periodieke penetratietest, de vergeten sites voorop.