“$25 von GPT-5.6 Sol Ultra fanden eine pre‑auth WordPress RCE — wp2shell von Searchlight Cyber”
Exploit-Broker zahlen etwa $500.000 für eine WordPress pre‑auth RCE. Adam Kues von Searchlight Cyber bekam eine für $25 API-Ausgaben — einen halben Tag GPT-5.6 Sol Ultra, ohne menschliches Bug-Hunting.
Was es eigentlich ist
Kein Produkt. Eine Methodik, plus der Bug, den sie erzeugte. Kues nahm das Multi-Agent-Prompt-Harness, das OpenAI beim Cycle-Double-Cover-Mathe-Beweis verwendet hat, richtete es auf einen lokalen Checkout des WordPress-Kerns und ließ vier Agenten etwa zehn Stunden lang schuften. Ergebnis war wp2shell: ein Offset-Mismatch zwischen Validierung und Ausführung in der REST-Batch-API, eine nicht authentifizierte SQL-Injection im Posts-Endpoint, Memory-Cache-Poisoning zum Fälschen eines Posts, Changeset-Missbrauch für temporären Admin und anschließend beliebige Hook-Ausführung. CVE-2026-63030 und CVE-2026-60137, gepatcht in 7.0.2 und 6.9.5. Standardinstallationen. über 500 Millionen Instanzen.
Warum $25 wichtiger ist als der Bug
Der Bug wird gepatcht. Die Kostenkurve lässt sich nicht rückgängig machen. Ein $200/Monat-Abonnement ermöglicht jetzt etwa zwei Versuche gegen eine halb‑Million‑Dollar-Verwundbarkeits‑Klasse, und das Harness ist öffentlich und reproduzierbar. HN vergab dafür 296 Punkte und 161 Kommentare am Tag der Veröffentlichung — die lauteste KI-Story vom 20. Juli.
Jeder Angreifer mit Kreditkarte hat jetzt dasselbe Tooling wie die Verteidiger.