Die kritische WordPress-Lücke, die vergangene Woche ein erzwungenes Auto-Update ausgelöst hat, stammt nicht aus monatelanger Handarbeit. Ein Sicherheitsforscher hat sie mit einem KI-Modell für rund 22 Euro Rechenzeit gefunden. Damit verschiebt sich weniger die Technik als die Ökonomie der Schwachstellensuche.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügenSechs Stunden Rechenzeit haben genügt, bis eine KI die WordPress-Lücke gefunden hatte, für die WordPress.org kurz darauf erzwungene Auto-Updates aktiviert hat. Adam Kues von Assetnote, einem Teil von Searchlight Cyber, hat sein Vorgehen offengelegt.[1] Die bemerkenswerte Zahl steht dabei nicht im Advisory, sondern auf der Rechnung.
Das Wichtigste in Kürze
- Kues hat GPT-5.6 Sol Ultra mit vier parallelen Agenten auf den Quelltext angesetzt, ohne Git-Historie und ohne Changelog
- Die Kosten beziffert er auf rund 22 Euro
- Gefunden hat die Analyse die Kette aus CVE-2026-63030 und CVE-2026-60137, geschlossen in WordPress 7.0.2, 6.9.5 und 6.8.6
- Ab dem 11. September 2026 verlangt der Cyber Resilience Act eine Frühwarnung binnen 24 Stunden, sobald eine Schwachstelle aktiv ausgenutzt wird
Was findet eine KI, das ein Fuzzer übersieht?
Logikfehler statt Speicherfehler. Fuzzer suchen nach Abstürzen. Die WordPress-Kette stürzt nirgends ab, sondern liefert saubere HTTP-Antworten, während zwei parallel geführte Arrays um genau einen Index auseinanderlaufen.
Genau darin liegt der Mechanismus: Der Batch-Endpunkt der REST-API führt Teilanfragen und ihre Validierungsergebnisse in zwei Listen. Scheitert eine davon, verschiebt sich die Zuordnung, und ein Parameter läuft unter der Prüfung einer fremden Route.
Erst dahinter lauert die SQL-Injection in WP_Query. Warum WordPress.org daraufhin zum erzwungenen Update gegriffen hat, haben wir bereits im Detail aufgeschlüsselt.
Warum die 22 Euro die eigentliche Nachricht sind
Der Preis der Suche fällt, der Wert des Fundes nicht. Kues beziffert den Marktpreis, den Exploit-Broker für eine WordPress-RCE zahlen, auf rund 435.000 Euro. Diese Zahl ist seine Einschätzung und kein belegter Verkaufspreis, denn verkauft hat er nichts.
Aussagekräftig bleibt trotzdem das Verhältnis. Zwischen Suchaufwand und potenziellem Erlös liegen fünf Größenordnungen, und dieselbe Rechnung stellt jeder Angreifer auf, der dieselbe Subscription abschließt.
Für Betreiber verschiebt sich damit das Zeitfenster. Der hohe Suchpreis hat die Zahl der Funde begrenzt, diese Bremse ist weg, und die Zeit zwischen Patch und Exploit schrumpft weiter, wie zuletzt der Streit um den Cursor-Zero-Day gezeigt hat.
Ist das der erste Fall dieser Art?
Nein, aber die Klasse der Funde ändert sich. Googles Projekt Big Sleep, eine Zusammenarbeit von Project Zero und DeepMind, hat bereits 2024 einen ausnutzbaren Stack-Buffer-Underflow in SQLite entdeckt.[2]
Der aufschlussreiche Teil dieses Präzedenzfalls steckt im Vergleich: Dieselbe Stelle hatte das Google-Team zuvor mit 150 CPU-Stunden Fuzzing vergeblich beschossen. Sprachmodelle setzen dort an, wo Bedeutung zählt und nicht der Zufall.
Das Muster zieht sich durch die Branche. Microsofts Patchday hat im Juli mit 570 geschlossenen Lücken einen Rekord erreicht, und die US-Cyberbehörde CISA lässt Behördencode inzwischen von einem KI-Modell prüfen.
Nicht die KI ist die Nachricht, sondern der Preis. Solange eine Schwachstellensuche fünfstellig gekostet hat, hat diese Rechnung Angreifer ausgebremst, und genau sie geht seit diesem Sommer nicht mehr auf.
— Markus Seyfferth, Chefredakteur Dr. Web
Was WordPress-Betreiber jetzt tun sollten
Prüfen Sie Ihre Version und lassen Sie Auto-Updates aktiv. Betroffen sind die Zweige ab 6.8.0, sicher sind ausschließlich 7.0.2, 6.9.5 und 6.8.6. Eine funktionierende Machbarkeitsstudie kursiert öffentlich, ein Aufschub bis zum nächsten Wartungsfenster verbietet sich damit.
Hinzu kommt eine Pflicht, die viele Anbieter noch nicht auf dem Schirm haben. Ab dem 11. September 2026 greift Artikel 14 des Cyber Resilience Act, und Hersteller digitaler Produkte melden eine aktiv ausgenutzte Schwachstelle dann binnen 24 Stunden an ENISA.[3]
Das trifft laut Verordnung auch Produkte, die längst am Markt sind, also Themes, Plugins und ganze WordPress-Installationen aus Agenturhand. Einen Teil der Reaktionszeit nimmt Ihnen ein Hoster ab, der Sicherheitsreleases automatisch einspielt; welche Anbieter das leisten, zeigt unser WordPress-Hosting-Vergleich.
Quellen
[1] Searchlight Cyber: „Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT-5.6“
[2] Google Project Zero: „From Naptime to Big Sleep: Using Large Language Models To Catch Vulnerabilities In Real-World Code“
[3] Europäische Union: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Artikel 14
Mehr Newshunger?
- Sicherheitslücke: Warum Sie WordPress sofort auf 7.0.2 aktualisieren sollten
- 570 Sicherheitslücken an einem Tag: KI treibt Microsofts Patchday auf Rekordniveau
- US-Cyberbehörde lässt ihren Code durch Claude Mythos prüfen
- Cursor-Zero-Day: Wenn nur noch die volle Offenlegung schützt
- GhostLock: Eine Stack-Use-after-free steckte 15 Jahre in fast jedem Linux-Kernel
- Jeder vierzehnte MCP-Server fällt durch: Wie unsicher die Infrastruktur für KI-Agenten wirklich ist
