WordPress-Sicherheitslücke wp2shell: Warum Sie jetzt updaten sollten

Wenn Sie eine WordPress-Website betreiben, betrifft Sie diese Meldung direkt. Am 17. und 18. Juli 2026 wurde eine kritische Sicherheitslücke im WordPress-Kern bekannt. Sie trägt den Namen wp2shell. Über sie können Fremde ohne Login die Kontrolle über eine Website übernehmen. Das WordPress-Projekt stuft den Fall in seine höchste Dringlichkeitsstufe ein und verteilt die Korrektur automatisch an betroffene Seiten.^[1]

Betroffen sind die WordPress-Versionen 6.8 bis 7.0.1. Die sicheren Versionen heißen 6.8.6, 6.9.5 und 7.0.2. Wer noch nicht auf einer dieser Versionen ist, sollte heute aktualisieren. Wie Sie Ihre Version prüfen und sicher updaten, lesen Sie hier.

Worum geht es?

wp2shell ist keine Lücke in einem Plugin oder Theme, sondern im Kern von WordPress selbst. Das macht sie besonders ernst, denn WordPress ist das mit Abstand am weitesten verbreitete System für Websites. Wo eine Kernlücke aufgeht, sind auf einen Schlag sehr viele Seiten angreifbar.

Technisch besteht wp2shell aus zwei einzelnen Schwachstellen, die zusammengeschaltet werden. Fachleute vergeben dafür sogenannte CVE-Nummern, das sind weltweit eindeutige Kennungen für Sicherheitslücken:

• CVE-2026-60137 (SQL-Injection, hoch): Über eine manipulierte Anfrage lässt sich eine Datenbankabfrage verändern. So kommt ein Angreifer an Daten oder schiebt eigene Werte in die Datenbank.
• CVE-2026-63030 (Fernausführung, kritisch): Eine Schwäche in der Batch-Schnittstelle der WordPress-Programmierschnittstelle (REST-API) erlaubt es, die erste Lücke ohne Login auszulösen. Am Ende steht die Ausführung von fremdem Code auf dem Server.^[2]

Zur genauen Einordnung: Die komplette Angriffskette bis zur Code-Ausführung betrifft die Versionen 6.9.0 bis 7.0.1, denn die Batch-Schwäche existiert erst ab WordPress 6.9. Die 6.8er-Reihe ist von der SQL-Injection betroffen und braucht das Update auf 6.8.6 genauso dringend.

Die Batch-Schnittstelle ist eigentlich eine praktische Funktion: Sie bündelt mehrere Anfragen zu einem Paket. Genau an dieser Stelle wird eine Prüfung übersprungen, wenn man ihr die Daten in einer unerwarteten Form übergibt. Dadurch greifen die beiden Lücken ineinander. „Ohne Login" heißt: Der Angreifer braucht weder ein Benutzerkonto noch ein Passwort. Wir gehen hier bewusst nur auf hoher Ebene darauf ein. Eine Anleitung zum Ausnutzen der Lücke finden Sie in diesem Beitrag nicht.

Bin ich betroffen?

Die Frage lässt sich klar beantworten. Entscheidend ist Ihre WordPress-Version. Betroffen sind alle Installationen in diesen Bereichen: 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Versionen vor 6.8 sind von dieser Lücke nicht betroffen, sollten aus anderen Gründen aber ohnehin längst aktualisiert sein.^[2]

Die folgende Tabelle zeigt, welche sichere Version zu Ihrem WordPress-Zweig gehört:

So prüfen Sie Ihre Version

Ihre WordPress-Version steht im Adminbereich. Melden Sie sich im WordPress-Dashboard an. Unten rechts in der Fußzeile des Dashboards wird die Versionsnummer angezeigt. Ausführlicher finden Sie sie unter „Werkzeuge" und dort im „Website-Zustand". Liegt Ihre Nummer im betroffenen Bereich, müssen Sie handeln.

Was im Ernstfall passiert

Eine Lücke, über die sich Code ohne Login ausführen lässt, ist deshalb so kritisch, weil Angreifer damit dauerhaft Fuß fassen können. Typischerweise passiert eines oder mehreres davon:

• Hintertür (Backdoor): ein verstecktes Programm, das dem Angreifer auch später noch heimlichen Zugriff gibt, selbst nach einem Update.
• Webshell: eine getarnte Datei, über die Befehle auf dem Server ausgeführt werden, oft als harmlose Datei maskiert.
• Datenabfluss: Über die SQL-Injection lassen sich Inhalte der Datenbank auslesen, etwa Benutzerkonten.
• Spam und Weiterleitungen: Ihre Seite verschickt unbemerkt Massen-E-Mails oder leitet Besucher auf fremde Seiten um. Das schadet Ihrem Ruf.
• Blacklisting: Suchmaschinen und Browser stufen Ihre Seite als gefährlich ein und warnen Besucher. Das kostet Sichtbarkeit und Vertrauen.

Jetzt updaten: Schritt für Schritt

Das Update ist in den allermeisten Fällen unkompliziert und in wenigen Minuten erledigt. Ziel ist eine der sicheren Versionen 6.8.6, 6.9.5 oder 7.0.2. Gehen Sie so vor:

Wenn Sie nicht sofort aktualisieren können

Manchmal lässt sich ein Update nicht in der nächsten Minute durchführen, etwa weil eine Abstimmung nötig ist oder eine besondere Konfiguration vorliegt. In diesem Fall sollten Sie das Risiko vorübergehend verkleinern. Wichtig: Diese Maßnahmen sind nur eine Notbremse, kein Ersatz für das Update.

Schon zu spät? Anzeichen einer Kompromittierung

Falls Ihre Seite länger nicht aktualisiert wurde, lohnt ein prüfender Blick. Diese Anzeichen deuten auf einen möglichen Befall hin:

Sehen Sie eines dieser Anzeichen, reicht ein einfaches Update nicht mehr aus. Das Update schließt zwar die Tür, es entfernt aber keinen Schadcode, der schon im Haus ist. Nötig ist eine saubere Bereinigung in der richtigen Reihenfolge: zuerst die dauerhaften Zugänge entfernen, dann Schaddateien löschen, dann Passwörter erneuern und erst am Ende das System wieder freigeben. Wenn Sie unsicher sind, übernehmen wir das über unsere Soforthilfe.

Ihre nächsten Schritte

Prüfen Sie jetzt Ihre WordPress-Version und aktualisieren Sie auf 6.8.6, 6.9.5 oder 7.0.2. Sind Sie unsicher, ob Sie betroffen sind, oder vermuten Sie bereits einen Befall, sollten Sie nicht zögern. Wir übernehmen den Sicherheits-Check und im Ernstfall die Bereinigung. Damit solche Lücken künftig gar nicht erst gefährlich werden, halten wir Ihre Seite mit unserer laufenden Website-Betreuung aktuell.

Häufige Fragen

Quellen