Kritische WordPress-Sicherheitslücke wp2shell: Jetzt dringend aktualisieren

Im WordPress-Kern wurde eine besonders schwerwiegende Sicherheitslücke entdeckt. Die unter dem Namen wp2shell bekannt gewordene Angriffskette kann es nicht angemeldeten Angreifern ermöglichen, Schadcode auf einem betroffenen Webserver auszuführen. Betreiber von WordPress-Websites sollten ihre installierte Version deshalb unverzüglich kontrollieren und aktualisieren.

Was ist wp2shell?

Bei wp2shell handelt es sich nicht nur um einen einzelnen Programmierfehler. Die Angriffskette verbindet zwei Schwachstellen im WordPress-Kern:

• CVE-2026-60137: eine SQL-Injection-Schwachstelle innerhalb der WordPress-Datenbankabfragen.
• CVE-2026-63030: eine fehlerhafte Verarbeitung von Anfragen in der Batch-Funktion der WordPress-REST-API.

Durch die Kombination beider Schwachstellen können vorgesehene Sicherheitsprüfungen umgangen werden. Unter bestimmten Voraussetzungen entsteht dadurch eine sogenannte Remote Code Execution. Ein Angreifer könnte dann Befehle oder Schadcode auf dem Webserver ausführen.

Besonders kritisch ist, dass für einen Angriff weder ein WordPress-Benutzerkonto noch ein anfälliges Plugin erforderlich ist. Auch eine WordPress-Standardinstallation ohne zusätzliche Plugins kann betroffen sein.

Welche WordPress-Versionen sind betroffen?

WordPress-Versionen vor 6.8 sind laut der offiziellen Sicherheitsmeldung von diesen beiden konkreten Schwachstellen nicht betroffen. Alte WordPress-Versionen können jedoch andere bekannte Sicherheitslücken enthalten und sollten deshalb nicht dauerhaft eingesetzt werden.

Welche Folgen kann ein erfolgreicher Angriff haben?

Eine Remote Code Execution gehört zu den schwerwiegendsten Sicherheitsproblemen einer Webanwendung. Bei einer erfolgreichen Ausnutzung könnten Angreifer beispielsweise:

• Inhalte einer Website verändern oder löschen,
• Schadsoftware oder versteckte Hintertüren installieren,
• Daten und Zugangsinformationen entwenden,
• Besucher auf betrügerische Seiten umleiten,
• den Webserver für weitere Angriffe missbrauchen oder
• die Website vollständig übernehmen.

Selbst wenn zunächst keine sichtbaren Veränderungen festgestellt werden, kann ein Angreifer bereits unbemerkt eine dauerhafte Zugriffsmöglichkeit eingerichtet haben. Bei länger ungepatchten Systemen sollte deshalb neben dem Update auch eine nachträgliche Sicherheitsprüfung erfolgen.

WordPress veröffentlicht Notfall-Update

WordPress hat am 17. Juli 2026 die Sicherheitsversionen 7.0.2, 6.9.5 und 6.8.6 veröffentlicht. Aufgrund der Schwere der Schwachstellen wurden für betroffene Installationen außerdem automatische Sicherheitsaktualisierungen über das WordPress-Updatesystem aktiviert.

Webseitenbetreiber sollten sich trotzdem nicht darauf verlassen, dass das Update automatisch installiert wurde. Deaktivierte Hintergrundupdates, fehlende Schreibrechte oder besondere Hosting-Konfigurationen können eine automatische Aktualisierung verhindern.

Was sollten Webseitenbetreiber jetzt tun?

1. Installierte Version kontrollieren: Öffnen Sie im WordPress-Dashboard den Bereich „Dashboard > Aktualisierungen“.
2. WordPress aktualisieren: Installieren Sie mindestens Version 7.0.2, 6.9.5 oder 6.8.6 – abhängig vom verwendeten Versionszweig.
3. Vollständige Datensicherung erstellen: Sichern Sie die WordPress-Dateien und die dazugehörige Datenbank.
4. Plugins und Themes aktualisieren: Veraltete Erweiterungen können zusätzliche Einfallstore darstellen.
5. Website und Server überprüfen: Kontrollieren Sie Benutzerkonten, Dateien, Weiterleitungen und Serverprotokolle auf verdächtige Veränderungen.
6. Zugangsdaten erneuern: Wenn ein Angriff nicht ausgeschlossen werden kann, sollten Administrator-, Hosting-, Datenbank- und SFTP-Zugangsdaten geändert werden.
7. Zwei-Faktor-Authentifizierung aktivieren: Schützen Sie insbesondere sämtliche Administratorkonten zusätzlich.

Vorübergehender Schutz, wenn ein Update nicht sofort möglich ist

Falls eine Aktualisierung kurzfristig nicht durchgeführt werden kann, sollte der anonyme Zugriff auf die WordPress-Batch-API vorübergehend über eine Web Application Firewall eingeschränkt werden.

Dabei müssen sowohl der Pfad /wp-json/batch/v1 als auch die alternative Anfrage über rest_route=/batch/v1 berücksichtigt werden. Eine solche Sperre kann legitime Schnittstellen und angebundene Anwendungen beeinträchtigen. Sie ist daher nur eine vorübergehende Notfallmaßnahme und ersetzt nicht das Sicherheitsupdate.

Warum schnelles Handeln für Unternehmen wichtig ist

Die Unternehmenswebsite ist häufig ein zentraler Kommunikations- und Vertriebskanal. Ein erfolgreicher Angriff kann nicht nur technische Schäden verursachen, sondern auch den Geschäftsbetrieb beeinträchtigen und das Vertrauen von Kunden und Geschäftspartnern gefährden.

Regelmäßige Sicherheitsupdates, funktionierende Datensicherungen und eine kontinuierliche Überwachung sind deshalb wichtige Bestandteile eines professionellen Website-Betriebs. Insbesondere bei kritischen Sicherheitsmeldungen wie wp2shell sollte die Aktualisierung nicht aufgeschoben werden.

Unser Fazit

Die Sicherheitslücke wp2shell erfordert schnelles Handeln. Unternehmen, die WordPress einsetzen, sollten ihre installierte Version jetzt kontrollieren und verfügbare Sicherheitsupdates unverzüglich einspielen.

Neben dem eigentlichen Update empfiehlt sich eine Überprüfung der Website auf ungewöhnliche Benutzerkonten, veränderte Dateien, verdächtige Weiterleitungen oder andere Anzeichen eines möglichen Angriffs.

Quellen und weiterführende Informationen

• Offizielle WordPress-Meldung zu Version 7.0.2
• WordPress-Sicherheitsmeldung zu CVE-2026-63030
• WordPress-Sicherheitsmeldung zu CVE-2026-60137
• The Hacker News: wp2shell WordPress Core Flaw
• Cyber Kendra: Critical WordPress Flaw
• Aikido Security: Unauthenticated RCE in WordPress

Stand der Informationen: 18. Juli 2026. Sicherheitsinformationen können sich durch neue Erkenntnisse oder zusätzliche Herstellerhinweise ändern.