Stand: 25. Juli 2026.
Eine aktuelle Sicherheitslücke im WordPress-Kern sorgt derzeit für akuten Handlungsbedarf. Unter dem Namen wp2shell wird eine Angriffskette zusammengefasst, mit der Angreifer unter bestimmten Voraussetzungen eine WordPress-Website aus der Ferne übernehmen können – ohne sich zuvor mit einem Benutzerkonto anmelden zu müssen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor der Möglichkeit einer Remote Code Execution, also der Ausführung von Code auf dem betroffenen Server, und verweist auf veröffentlichte Proofs of Concept sowie Berichte über erste Ausnutzungen. Wer eine betroffene Website betreibt, sollte die WordPress Sicherheitslücke beheben, bevor Angreifer die offene Schwachstelle ausnutzen können.
Wer eine WordPress-Website betreibt, sollte jetzt nicht nur aktualisieren, sondern auch prüfen, ob bereits Spuren eines Angriffs vorhanden sind. Denn ein Sicherheitsupdate schließt das Einfallstor für neue Angriffe. Es entfernt jedoch keine Hintertür, kein fremdes Administratorkonto und keine manipulierte Datei, die vorher bereits abgelegt wurde.
Kurz gesagt: Ein Update ist zwingend, aber bei einer möglicherweise bereits kompromittierten Website nur der Anfang. Die richtige Reihenfolge lautet: Lücke schließen, Befund sichern, System prüfen, Schadcode verifizieren und entfernen, Zugänge erneuern, dauerhaft überwachen. Um die WordPress Sicherheitslücke beheben zu können, muss zunächst geprüft werden, welche WordPress-Version tatsächlich installiert ist.
Was ist wp2shell und warum ist die Sicherheitslücke so kritisch?
wp2shell ist keine einzelne Schwachstelle, sondern eine Kombination aus zwei Fehlern im WordPress-Core. Die erste Lücke, CVE-2026-60137, betrifft eine unzureichende Bereinigung eines Parameters in WP_Query. Sie kann zu einer SQL-Injection führen, wenn ein Theme oder Plugin nicht vertrauenswürdige Eingaben an diesen Parameter weiterreicht. Die zweite Lücke, CVE-2026-63030, betrifft die Verarbeitung von Routen im REST-API-Batch-Endpunkt. In Kombination mit der ersten Schwachstelle kann daraus eine nicht authentifizierte Remote Code Execution entstehen. Der CVE-Eintrag bewertet diese Kette mit CVSS 9,8 von 10.
Für Nicht-Techniker bedeutet das: Normalerweise soll WordPress nur Daten verarbeiten, die dafür vorgesehen sind. Die Angriffskette kann diese Schutzgrenzen umgehen. Gelingt dies, könnte ein Angreifer beispielsweise schädliche Dateien nachladen, zusätzliche Zugänge anlegen, Inhalte verändern oder die Website als Ausgangspunkt für weitere Angriffe missbrauchen. Die konkreten Folgen hängen davon ab, was nach dem erfolgreichen Eindringen auf dem jeweiligen Server passiert.
Das WordPress-Sicherheitsteam veröffentlichte am 17. Juli 2026 außerplanmäßige Sicherheitsupdates. Es beschreibt eine hochgradige und eine kritische Schwachstelle und empfiehlt allen Betreibern betroffener Websites ein sofortiges Update. Für bestimmte Installationen wurden sogar erzwungene automatische Updates aktiviert.
Welche WordPress-Versionen sind betroffen?
Entscheidend ist die Unterscheidung zwischen dem ersten Teil der Kette und der vollständigen wp2shell-Angriffskette. Nicht jede ältere Version ist gleich stark betroffen. Die folgende Übersicht basiert auf den offiziellen WordPress-Release-Notes und den CVE-Einträgen.
| Installierte WordPress-Version | Risikoeinordnung | Erforderliche Maßnahme |
| 6.8.0 bis 6.8.5 | Betroffen von CVE-2026-60137; nicht von der vollständigen wp2shell-Kette laut WordPress-Release | Sofort auf mindestens 6.8.6 aktualisieren |
| 6.9.0 bis 6.9.4 | Betroffen von beiden Schwachstellen und damit von der kritischen Angriffskette | Sofort auf mindestens 6.9.5 aktualisieren und Kompromittierungscheck durchführen |
| 7.0.0 bis 7.0.1 | Betroffen von beiden Schwachstellen und damit von der kritischen Angriffskette | Sofort auf mindestens 7.0.2 aktualisieren und Kompromittierungscheck durchführen |
| Vor 6.8 | Laut WordPress nicht von diesen beiden CVEs betroffen | Trotzdem Upgrade-Strategie prüfen, da nicht gepflegte Software ein eigenes Sicherheitsrisiko sein kann |
Die Versionsnummer im WordPress-Dashboard ist damit der erste Prüfpunkt. Verlassen Sie sich aber nicht allein auf die Annahme, ein automatisches Update sei sicher erfolgt. Kontrollieren Sie aktiv die tatsächlich installierte Version, dokumentieren Sie den Zeitpunkt und prüfen Sie, ob das Update ohne Fehler abgeschlossen wurde.
WordPress Sicherheitslücke beheben: Warum das Update allein nicht reicht
Ein Update ersetzt den verwundbaren Programmcode. Es kann aber nicht automatisch erkennen, ob ein Angreifer während des offenen Zeitfensters bereits einen Zugang geschaffen hat. Genau hier liegt der Unterschied zwischen Patchen und Bereinigen.
Bei unseren Bereinigungen kompromittierter Websites sehen wir aktuell deutliche Muster, wie Angreifer das offene Zeitfenster vor dem Update ausnutzen. Häufig legen sie zunächst unbemerkt neue Administratorkonten an oder installieren getarnte Plugins, um sich dauerhaften Zugriff zu sichern. Manchmal manipulieren sie auch die eigentliche Anmeldeseite, um den rechtmäßigen Besitzern den Zugang zu erschweren.
Zudem stellen wir fest, dass die Angreifer zunehmend raffinierter vorgehen. Wir finden regelmäßig verstreute Backdoors in tiefen Unterverzeichnissen, die bei einem flüchtigen Scan leicht übersehen werden. Ebenso beobachten wir manipulierte Dateiformate, bei denen Schadcode beispielsweise in scheinbar harmlosen Bild- oder Cache-Dateien versteckt wird. Ein weiteres typisches Muster sind versteckte .htaccess-Dateien. Diese Konfigurationsdateien können – sofern sie auf dem Server aktiviert sind – Regeln für das jeweilige Verzeichnis und dessen Unterverzeichnisse festlegen. Deshalb müssen sie bei einem Sicherheitscheck sorgfältig geprüft werden.
Diese Anzeichen sind kein Beweis für wp2shell – sie sind aber ein Anlass für eine gründliche Untersuchung. Besonders vorsichtig sollten Betreiber sein, wenn die Website im fraglichen Zeitraum nicht aktuell war, ungewöhnliche Servermeldungen aufgetreten sind oder sich das Verhalten von Login, Weiterleitungen oder Administrationsbereich plötzlich verändert hat.
| Möglicher Hinweis | Warum er relevant ist | Sinnvolle Reaktion |
| Unbekannte Benutzer mit Administratorrechten | Ein zusätzliches Konto kann dauerhaften Zugriff ermöglichen | Konto nicht nur deaktivieren, sondern Herkunft, Zeitpunkt und zugehörige Berechtigungen prüfen |
| Verstreute Backdoors in Unterverzeichnissen | Angreifer verstecken Schadcode tief in der Ordnerstruktur (wp-includes, wp-content/uploads), um Scans zu entgehen | Gesamte Ordnerstruktur prüfen; Dateien mit ungewöhnlichem Änderungsdatum oder Dateiendungen untersuchen |
| Manipulierte Dateiformate und getarnter Code | Schadcode wird oft in vermeintlichen Systemdateien, Bildern oder Cache-Dateien versteckt | Dateien gegen eine saubere Referenzinstallation abgleichen; Datei-Inhalte (nicht nur Dateinamen) auf Schadcode prüfen |
| Versteckte .htaccess-Dateien | Sie können die Konfiguration eines Verzeichnisses und seiner Unterverzeichnisse beeinflussen. | Nach unerwarteten .htaccess-Dateien in Unterverzeichnissen suchen und deren Weiterleitungs- und Zugriffsregeln analysieren |
| Ungewöhnliche Weiterleitungen oder Login-Probleme | Manipulierter Code oder manipulierte .htaccess-Regeln können Website-Verhalten und Zugriff verändern | Server- und WordPress-Logs sichern, Ursache analysieren und nicht vorschnell Dateien löschen |
So lässt sich die WordPress Sicherheitslücke sicher beheben
Eine Bereinigung sollte nicht hektisch und nicht nach dem Prinzip „alles Verdächtige löschen“ erfolgen. Gerade im WordPress-Core sehen legitime Systemdateien und manipulierte Dateien für Ungeübte schnell ähnlich aus. Wer ohne Prüfung löscht, riskiert zusätzlich einen Ausfall oder zerstört wichtige Spuren für die Analyse. Eine WordPress Sicherheitslücke beheben bedeutet mehr als ein Update einzuspielen: Auch versteckte Backdoors, manipulierte Dateien und fremde Administratoren müssen geprüft werden.
| Phase | Was jetzt zu tun ist | Warum das wichtig ist |
| 1. Befund sichern | Erstellen Sie vor Eingriffen eine forensisch nutzbare Sicherung von Dateien, Datenbank und relevanten Protokollen. Falls möglich, begrenzen Sie parallel unnötige Admin-Zugänge. | Ohne Ausgangspunkt lässt sich später kaum nachvollziehen, was verändert wurde und ob die Bereinigung vollständig war. |
| 2. Sicherheitsupdate einspielen | Aktualisieren Sie WordPress auf die oben genannte, bereinigte Zielversion. Aktualisieren Sie anschließend nur geprüfte Plugins und Themes. | Das Update schließt die bekannte Schwachstelle für neue Angriffe. |
| 3. Zugänge und Änderungen prüfen | Kontrollieren Sie Administratoren, Plugins, Themes, Dateiveränderungen, geplante Aufgaben und auffällige Einträge in der Datenbank. | Eine Angreifer-Hintertür kann unabhängig vom eigentlichen Update weiterbestehen. |
| 4. Bestätigten Schadcode sauber entfernen | Löschen oder ersetzen Sie nur Elemente, deren Herkunft und Inhalt geprüft wurden. Stellen Sie Core-Dateien aus der passenden, vertrauenswürdigen WordPress-Version wieder her. | Eine nachvollziehbare Bereinigung reduziert das Risiko, legitime Dateien zu beschädigen oder eine Hintertür zu übersehen. |
| 5. Alle Zugänge erneuern | Setzen Sie WordPress-, Hosting-, SFTP/SSH-, Datenbank- und API-Zugangsdaten zurück. Erneuern Sie zudem die WordPress-Authentifizierungsschlüssel. | Zugangsdaten und aktive Sitzungen können bei einer Kompromittierung betroffen sein. |
| 6. Scan, Monitoring und Nachkontrolle | Führen Sie einen vollständigen Malware- und Integritätscheck durch. Prüfen Sie nach der Bereinigung erneut Benutzer, Dateien und Logs. | Sicherheitsmaßnahmen wirken nur dauerhaft, wenn die Website weiterhin überwacht und aktuell gehalten wird. |
Bei einem unklaren oder umfangreichen Befund ist eine Wiederherstellung aus einem nachweislich sauberen Backup oft sicherer als das Reparieren einzelner Fundstellen. Das Backup muss allerdings vor dem möglichen Angriffszeitpunkt liegen und anschließend ebenfalls aktualisiert sowie überprüft werden. Die offizielle WordPress-Dokumentation betont, dass belastbare Backups, aktuelle Software, vertrauenswürdige Quellen und ein abgestufter Zugriffsschutz zentrale Bausteine der Härtung sind.
Diese Fehler sollten Sie jetzt vermeiden
Ein laufender Angriff erhöht den Druck. Trotzdem führen Schnellschüsse häufig zu Folgeproblemen. Löschen Sie keine PHP-Datei allein wegen ihres Namens. Geben Sie keine Zugangsdaten an angebliche Support-Mitarbeiter weiter. Und betrachten Sie ein grünes Sicherheitsplugin-Ergebnis nicht automatisch als Beweis dafür, dass kein Angreifer mehr im System ist.
Ebenso problematisch ist es, ausschließlich WordPress zu aktualisieren und Hosting-, Datenbank- oder Administratorzugänge unverändert zu lassen. Wenn eine Hintertür oder ein kompromittiertes Passwort bestehen bleibt, kann der Angreifer unter Umständen erneut zugreifen – auch nachdem die ursprüngliche Sicherheitslücke geschlossen wurde.
Website nach wp2shell dauerhaft schützen
Die akute Bereinigung ist wichtig. Nachhaltige Website-Sicherheit entsteht jedoch durch einen festen Prozess. WordPress, Plugins und Themes sollten zeitnah aktualisiert werden. Nicht benötigte Erweiterungen gehören entfernt, nicht nur deaktiviert. Zugänge brauchen eindeutige Verantwortlichkeiten, starke individuelle Passwörter und, wo verfügbar, Zwei-Faktor-Authentifizierung. Ebenso wichtig sind getestete Backups, ein aktueller Überblick über Benutzerkonten und eine regelmäßige Kontrolle auf unerwartete Änderungen.
WordPress selbst weist darauf hin, dass Sicherheit Risikoreduzierung und keine absolute Garantie bedeutet. Deshalb ist eine Kombination aus aktuellen Updates, begrenzten Zugriffsrechten, vertrauenswürdigen Erweiterungen, Backups, Logging und Monitoring sinnvoll. Für Unternehmen ist eine planbare WordPress-Wartung damit keine Nebensache, sondern der Schutz eines zentralen digitalen Kontaktpunkts.
Häufige Fragen zur wp2shell-Sicherheitslücke
Reicht ein automatisches WordPress-Update aus?
Ein automatisches Update kann die bekannte Schwachstelle schließen. Es ersetzt jedoch keine Prüfung auf bereits angelegte Zugänge, manipulierte Dateien oder schädliche Erweiterungen. Kontrollieren Sie deshalb nach dem Update die installierte Versionsnummer und führen Sie bei einer potenziell betroffenen Website einen strukturierten Kompromittierungscheck durch.
Kann ein Security-Plugin die Website allein bereinigen?
Ein gutes Sicherheitswerkzeug hilft bei Scan, Protokollierung und Erkennung bekannter Auffälligkeiten. Es ersetzt jedoch keine fachliche Bewertung eines konkreten Befunds. Bei kritischen Funden oder unklarer Dateihistorie sollte die Bereinigung nachvollziehbar erfolgen und bei Bedarf von erfahrenen Fachleuten begleitet werden. Ein automatisches Update kann helfen, die WordPress Sicherheitslücke beheben zu lassen, ersetzt aber keinen vollständigen Sicherheitscheck bei einem möglichen Angriff.
Woran erkenne ich, ob meine Website dringend geprüft werden muss?
Eine sofortige Prüfung empfiehlt sich insbesondere für WordPress 6.9.0 bis 6.9.4 und 7.0.0 bis 7.0.1, wenn diese seit dem 17. Juli 2026 erreichbar waren. Auch unbekannte Administratoren, neue Plugins, ungewöhnliche Weiterleitungen, Fehlermeldungen oder Probleme beim Login sind Warnsignale.
Sind ältere WordPress-Versionen automatisch sicher?
Für die beiden hier behandelten CVEs nennt WordPress Versionen vor 6.8 als nicht betroffen. Das bedeutet jedoch nicht, dass alte, nicht mehr gepflegte Installationen grundsätzlich sicher sind. Ein geplanter Upgrade- und Wartungsprozess bleibt unverzichtbar.
Quellen:
BSI: WordPress – Schwachstellen erlauben Remote Code Execution
[2] WordPress 7.0.2 Release
[3] CVE-2026-60137 – Facilitated SQL Injection via author__not_in in WP_Query
[4] CVE-2026-63030 – REST API batch-route confusion and SQL injection leading to Remote Code Execution
[5] WordPress Developer Resources: Hardening WordPress
[6] Apache HTTP Server: .htaccess files