Seit Mitte Juli 2026 wird eine kritische Sicherheitslücke im WordPress-Kern aktiv ausgenutzt. Unter dem Namen „wp2shell“ können Angreifer verwundbare Websites komplett übernehmen, ganz ohne Login. Wir erklären, was dahintersteckt, welche Versionen betroffen sind und wie du herausfindest, ob deine Website gefährdet ist.
Was ist wp2shell?
„wp2shell“ ist der Spitzname für zwei Schwachstellen im WordPress-Kern, die kombiniert besonders gefährlich sind:
- CVE-2026-60137: eine SQL-Injection-Lücke, über die sich Datenbank-Abfragen manipulieren lassen.
- CVE-2026-63030: eine kritische Lücke, über die sich Schadcode ausführen lässt.
Verkettet erlauben sie einem Angreifer, ohne Anmeldung aus der Ferne beliebigen Code auszuführen (unauthenticated Remote Code Execution). Der Angriff läuft über die REST-Programmierschnittstelle von WordPress (die sogenannte Batch-Schnittstelle) und funktioniert bereits bei einer Standard-Installation ganz ohne zusätzliche Plugins. In der Praxis laden Angreifer damit eine Webshell hoch, also eine versteckte Fernsteuerung, und übernehmen die Website samt Daten.
Welche WordPress-Versionen sind betroffen?
Betroffen ist der WordPress-Kern in diesen Versionen:
- WordPress 6.9.0 bis 6.9.4
- WordPress 7.0.0 bis 7.0.1
Geschlossen ist die Lücke in den gepatchten Versionen 6.9.5 und 7.0.2 (für die ältere Reihe zusätzlich 6.8.6). Wegen der Schwere hat WordPress.org erzwungene automatische Updates aktiviert, viele Seiten wurden dadurch bereits automatisch abgesichert. Verlassen solltest du dich darauf aber nicht: Auf manchen Installationen sind automatische Updates deaktiviert oder greifen nicht zuverlässig.
Warum ist das so brisant?
- Kein Login nötig: Der Angriff funktioniert völlig anonym.
- Betrifft den Kern: Nicht nur ein einzelnes Plugin, sondern WordPress selbst.
- Wird aktiv ausgenutzt: Seit dem 21. Juli 2026 steht die Lücke in der Liste bekannter ausgenutzter Schwachstellen der US-Behörde CISA. Öffentliche Exploits kursieren, und es wird massenhaft nach verwundbaren Seiten gescannt.
- Dauerhafte Hintertür: Angreifer hinterlassen Webshells, die auch nach einem Update aktiv bleiben können.
Wichtig: Ein Update schließt zwar die Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware. Wurde deine Seite vor dem Update kompromittiert, bleibt die Hintertür bestehen, bis sie gezielt bereinigt wird.
Was du jetzt tun solltest
- Version prüfen: Deine WordPress-Version steht im Dashboard unten rechts oder unter „Aktualisierungen“.
- Sofort aktualisieren auf 6.9.5 oder 7.0.2 (oder neuer), falls noch nicht geschehen.
- Auf Spuren prüfen: unbekannte Administrator-Konten, neue oder fremde Dateien, verdächtige Plugins und ungewöhnliche Weiterleitungen.
Wie schützt du deine WordPress-Website dauerhaft?
wp2shell zeigt, wie schnell aus einer nicht gepatchten Lücke ein Totalschaden wird. Ein einzelnes Update reicht als Strategie aber nicht aus. Wichtig ist ein Zusammenspiel mehrerer Schutzebenen: zeitnahe Updates von Kern, Themes und Plugins, tägliche Backups, eine Web Application Firewall, 2-Faktor-Authentifizierung für alle Administrator-Konten und ein Monitoring, das verdächtige Datei-Änderungen sofort meldet.
Genauso wichtig ist ein Notfallplan: Wer im Ernstfall weiß, wie er die Seite vom Netz nimmt, bereinigt und sauber wiederherstellt, verliert keine wertvolle Zeit. Wenn du das nicht selbst betreuen möchtest, übernehmen wir Updates, Monitoring und Absicherung im Rahmen unserer Wartung für Websites und Website-Sicherheit.
Bist du betroffen?
Du bist dir nicht sicher, ob deine Website noch verwundbar ist oder ob bereits etwas passiert ist? Wir prüfen deine Seite, bereinigen einen möglichen Befall und sichern sie für die Zukunft ab.
