Der Sicherheitsforscher Adam Kues von Searchlight Cyber setzte OpenAIs neu veröffentlichtes Modell GPT-5.6 „Sol Ultra“ ein, um eigenständig eine vollständige Pre-Auth-Kette zur Remote-Codeausführung (RCE) in einer Standard-WordPress-Installation zu finden. Ausgehend von einem Prompt, den OpenAI ursprünglich zum Lösen der „Cycle Double Cover“-Vermutung veröffentlicht hatte, ließ er vier parallele Agenten über sechs Stunden lang eine bereinigte WordPress-Codebasis (ohne Git-Historie) analysieren. Die anteiligen Kosten bei seinem 200-Dollar-Abo lagen bei rund 25 Dollar, was etwa der Hälfte seines wöchentlichen Nutzungskontingents entsprach.

Die zugrunde liegende Schwachstelle steckt in der REST-Batch-API von WordPress (eingeführt in Version 5.6, 2020), die alle Teilanfragen zunächst in einer Schleife validiert und erst danach in einer zweiten Schleife ausführt. Löst eine fehlerhafte Anfrage einen Fehlerzweig aus, geraten die internen Arrays „matches“ und „validation“ außer Sync – ein Angreifer kann so eine validierte Anfrage mit dem Ausführungs-Handler eines anderen Endpunkts kombinieren und die Parametervalidierung komplett umgehen. In Kombination mit dem ungeprüften Parameter author_exclude bei GET /wp/v2/posts (der bei Übergabe als Zeichenkette statt als Array nicht durch absint() abgesichert wird) ergibt sich eine SQL-Injection vor jeder Authentifizierung. Da die Batch-API eigentlich keine GET-Anfragen zulässt, fand Sol einen Weg, Batch-Aufrufe rekursiv zu verschachteln und auch diese Einschränkung zu umgehen.

Etwa vier Stunden später gelang dem Modell die Eskalation der reinen Lese-SQLi zur vollständigen RCE, indem es mehrere interne WordPress-Mechanismen verkettete: Vergiftung des In-Memory-Post-Caches per UNION-Injection, Fälschung von oEmbed-Cache-Datenbankeinträgen, Ausnutzung der Zyklus-Erkennung bei Post-Hierarchien, um WordPress zum Abgleich gefälschter Speicherdaten mit echten Datenbankeinträgen zu zwingen, Kapern eines customize_changeset-Posts zur vorübergehenden Übernahme einer Administratoridentität sowie schließlich Missbrauch des parse_request-Hooks, um die ursprüngliche Anfrage erneut mit Administratorrechten auszuführen. Das Ergebnis: ein echtes Administratorkonto und die Möglichkeit, per Plugin-Upload eine Backdoor mit voller Codeausführung zu installieren.

Kues zufolge hätte ein menschlicher Forscher für diese in rund zehn Stunden vollständig KI-generierte Kette deutlich länger gebraucht; er schätzt den Marktwert eines solchen Exploits bei Exploit-Brokern auf bis zu 500.000 Dollar – gegenüber rund 25 Dollar KI-Rechenkosten für die Entdeckung. WordPress betreibt schätzungsweise über 500 Millionen Websites weltweit. Searchlight Cyber verzögerte die Veröffentlichung um ein Wochenende, damit Betreiber patchen konnten; die Forscher „Calif“ und „Hacktron“ reproduzierten die Kette unabhängig, bevor öffentliche Proof-of-Concept-Codes auf GitHub auftauchten. Ein Prüftool zum Testen der eigenen Installation stellt Searchlight unter wp2shell.com bereit.