kritische WordPress Lücke – „wp2shell“ zeitnah/sofort Updaten bzw. prüfen
WordPress hat am 17. Juli 2026 ein dringendes Sicherheitsupdate veröffentlicht. Der Anlass ist eine als wp2shell bezeichnete Angriffsmöglichkeit im WordPress-Core. Angreifer können zwei Schwachstellen miteinander verketten und dadurch unter bestimmten Bedingungen eigenen Programmcode auf dem Server ausführen.
Besonders kritisch ist, dass weder ein Benutzerkonto noch ein anfälliges Plugin erforderlich ist. Eine öffentlich erreichbare WordPress-Installation kann bereits über eine manipulierte Anfrage an die REST-API angegriffen werden. WordPress hat deshalb automatische Zwangsaktualisierungen für betroffene Versionen aktiviert. Betreiber sollten trotzdem selbst kontrollieren, ob das Update tatsächlich installiert wurde.
Das Wichtigste in Kürze
Betreiber einer WordPress-Internetseite sollten jetzt folgende Punkte prüfen:
- Installierte WordPress-Version feststellen
- WordPress 6.8 auf mindestens 6.8.6 aktualisieren
- WordPress 6.9 auf mindestens 6.9.5 aktualisieren
- WordPress 7.0 auf mindestens 7.0.2 aktualisieren
- Prüfen, ob das automatische Update erfolgreich abgeschlossen wurde (war vereinzelt NICHT der Fall bei unseren Kunden)
- WordPress-Dateien auf unerwartete Veränderungen prüfen
- Bei Auffälligkeiten eine vollständige Sicherheitsprüfung durchführen
Eine vorgeschaltete Web Application Firewall kann das Risiko reduzieren. Das Update des WordPress-Cores bleibt dennoch erforderlich.
Was steckt hinter wp2shell
Bei wp2shell handelt es sich um eine Angriffskette aus zwei Schwachstellen im WordPress-Core.
Die erste Schwachstelle betrifft den Parameter author__not_in innerhalb von WP_Query. Durch eine unzureichende Verarbeitung bestimmter Eingaben kann eine SQL-Injection ermöglicht werden. Diese Schwachstelle wird unter CVE-2026-60137 geführt.
Die zweite Schwachstelle betrifft die Verarbeitung gebündelter Anfragen über die REST-API. WordPress kann dabei unter bestimmten Bedingungen eine Anfrage einem falschen internen Verarbeitungsweg zuordnen. Diese Schwachstelle trägt die Kennung CVE-2026-63030.
Ab WordPress 6.9 können beide Fehler miteinander kombiniert werden. Dadurch kann aus der SQL-Injection eine Remote Code Execution werden. Ein Angreifer könnte dann PHP-Code mit den Rechten des Webserver-Prozesses ausführen.
Remote Code Execution bedeutet, dass ein Angreifer möglicherweise Dateien verändern, Schadcode hinterlegen, Daten auslesen oder weitere Zugänge zum System schaffen kann. Welche Folgen tatsächlich möglich sind, hängt auch von der Serverkonfiguration, den Dateirechten und der Trennung anderer Anwendungen auf dem Server ab.
Welche WordPress-Versionen sind betroffen
Die beiden Sicherheitslücken betreffen unterschiedliche WordPress-Versionen.
| Installierte Version | Risiko | Erforderliche Maßnahme |
|---|---|---|
| Vor WordPress 6.8 | Nach aktuellem Stand nicht von diesen beiden Schwachstellen betroffen | Trotzdem auf eine gepflegte Version aktualisieren |
| WordPress 6.8.0 bis 6.8.5 | SQL-Injection möglich | Update auf mindestens 6.8.6 |
| WordPress 6.9.0 bis 6.9.4 | Vollständige wp2shell-Angriffskette möglich | Update auf mindestens 6.9.5 |
| WordPress 7.0.0 bis 7.0.1 | Vollständige wp2shell-Angriffskette möglich | Update auf mindestens 7.0.2 |
| WordPress 7.1 Beta 1 | Beide Schwachstellen vorhanden | Update auf Beta 2 oder eine stabile Version |
WordPress-Versionen vor 6.8 sind laut offizieller Veröffentlichung von diesen beiden konkreten Sicherheitsproblemen nicht betroffen. Das bedeutet jedoch nicht, dass alte WordPress-Versionen generell sicher sind. Nicht mehr gepflegte Versionen können andere bekannte Schwachstellen enthalten und sollten nicht dauerhaft produktiv eingesetzt werden.
Warum ist die Sicherheitslücke besonders kritisch
Viele WordPress-Sicherheitsprobleme entstehen in Plugins oder Themes. Bei wp2shell liegt die Ursache direkt im WordPress-Core.
Ein Angreifer benötigt laut den Sicherheitsforschern:
- kein WordPress-Benutzerkonto
- keine Administratorrechte
- kein anfälliges Drittanbieter-Plugin
- keine Interaktion durch einen angemeldeten Benutzer
Die Schwachstelle kann grundsätzlich auch eine Standardinstallation betreffen. Die Sicherheitsforscher von Searchlight Cyber beschreiben den Angriff ausdrücklich als ohne Vorbedingungen ausnutzbar.
Cloudflare weist auf eine technische Einschränkung hin. Der bekannte Weg zur Codeausführung funktioniert demnach, wenn kein persistenter Object Cache verwendet wird. Eine normale WordPress-Installation verwendet standardmäßig keinen solchen Cache und kann daher betroffen sein.
Gibt es bereits einen öffentlich verfügbaren Angriffscode
Am 18. Juli 2026 war bereits ein funktionsfähiger Proof of Concept öffentlich verfügbar. Damit können Sicherheitsforscher die Schwachstelle nachvollziehen. Gleichzeitig sinkt die technische Hürde für automatisierte Angriffsversuche.
Für eine bestätigte breite Ausnutzung im Internet lagen zum Zeitpunkt dieser Recherche noch keine gesicherten Informationen vor. Rapid7 berichtete am 17. Juli 2026, dass dem Unternehmen keine öffentlich bestätigten Angriffe bekannt waren. Die Schwachstelle war am 18. Juli außerdem noch nicht im CISA-Katalog der nachweislich ausgenutzten Sicherheitslücken aufgeführt.
Diese Lage kann sich kurzfristig ändern. Ein öffentlich verfügbarer Proof of Concept und die große Zahl öffentlich erreichbarer WordPress-Installationen machen schnelle automatisierte Scans wahrscheinlich.
Was sollten WordPress-Betreiber jetzt konkret tun
Alle WordPress-Installationen erfassen
In Unternehmen existieren häufig mehr WordPress-Installationen als zunächst bekannt. Neben der Hauptseite können betroffen sein:
- Landingpages
- ältere Projektseiten
- Blog-Subdomains
- Entwicklungs- und Staging-Systeme
- archivierte Kampagnenseiten
- Testinstallationen
- Kundenportale
- WordPress-Multisites
Auch eine nicht mehr aktiv gepflegte Seite kann als Zugang zum Server oder zum Hosting-Konto dienen.
Für jede Installation sollten Domain, Hosting-Paket, installierte WordPress-Version, verantwortliche Person und Status des Updates dokumentiert werden.
Installierte WordPress-Version kontrollieren
Die Version lässt sich im WordPress-Backend unter Dashboard und Aktualisierungen prüfen.
Betreiber sollten sich nicht darauf verlassen, dass das angekündigte automatische Zwangsupdate überall funktioniert hat. Schreibrechte, gesperrte Updates, individuelle Deployment-Prozesse oder fehlerhafte Cronjobs können eine Aktualisierung verhindern.
WordPress empfiehlt ausdrücklich, betroffene Installationen sofort zu aktualisieren.
WordPress-Core sofort aktualisieren
Je nach Versionslinie müssen mindestens folgende Versionen installiert werden:
- WordPress 6.8.6
- WordPress 6.9.5
- WordPress 7.0.2
- WordPress 7.1 Beta 2 bei bewusst eingesetzten Testsystemen
Bei produktiven Internetseiten sollte möglichst eine stabile und gepflegte WordPress-Version eingesetzt werden.
Das Update kann normalerweise unter Dashboard und Aktualisierungen gestartet werden. Schlägt die automatische Aktualisierung fehl, steht weiterhin die manuelle Aktualisierung per SFTP oder Serverzugang zur Verfügung.
Individuelle Änderungen an Dateien des WordPress-Cores können bei einem Update überschrieben werden. Solche Änderungen sollten grundsätzlich vermieden und in ein eigenes Plugin oder Child Theme verlagert werden.
Update-Ergebnis überprüfen
Nach dem Update reicht der Hinweis „Aktualisierung abgeschlossen“ allein nicht aus.
Zu kontrollieren sind mindestens:
- angezeigte WordPress-Version
- Funktioniert die Startseite?
Was tun, wenn ein sofortiges Update nicht möglich ist
Kann das Update aus technischen Gründen nicht unmittelbar installiert werden, sollte der gefährdete REST-Endpunkt vorübergehend durch eine Web Application Firewall, einen Reverse Proxy oder die Serverkonfiguration gesperrt werden.
Beide möglichen Aufrufvarianten müssen berücksichtigt werden:
/wp-json/batch/v1
?rest_route=/batch/v1
Searchlight Cyber nennt außerdem eine vollständige Sperrung anonymer REST-API-Zugriffe als mögliche Notmaßnahme. Solche Eingriffe können Formulare, Headless-Anwendungen, externe Redaktionssysteme, mobile Apps oder andere Schnittstellen beeinträchtigen. Sie sollten daher nur vorübergehend eingesetzt und nach dem Update kontrolliert zurückgenommen werden.
Cloudflare hat eigene Firewall-Regeln für beide Schwachstellen veröffentlicht und nach eigenen Angaben für kostenlose sowie kostenpflichtige Tarife ausgerollt, sofern der Datenverkehr tatsächlich über die Cloudflare-WAF geleitet wird. Betreiber kostenpflichtiger Tarife sollten prüfen, ob die Managed Rules aktiv sind und nicht durch eigene Ausnahmen auf einen reinen Protokollierungsmodus gesetzt wurden.
Eine Firewall-Regel behebt die fehlerhafte WordPress-Programmierung nicht. Sie bietet eine zusätzliche Schutzschicht für die Zeit bis zur erfolgreichen Aktualisierung.
Welche Fehler sollten Betreiber vermeiden
Automatisches Update ungeprüft voraussetzen
WordPress hat Zwangsaktualisierungen aktiviert. Trotzdem muss jede einzelne Installation kontrolliert werden.
Nur Plugins aktualisieren
wp2shell befindet sich im WordPress-Core. Aktualisierte Plugins schließen diese konkrete Lücke nicht.
Eine alte WordPress-Version als Dauerlösung verwenden
Versionen vor 6.8 sind von diesen beiden CVEs laut WordPress nicht betroffen. Alte Versionslinien können andere bekannte Sicherheitsprobleme enthalten.
Nur auf ein Sicherheitsplugin vertrauen
Ein Sicherheitsplugin oder eine WAF kann Angriffe blockieren oder melden. Der verwundbare Programmcode bleibt ohne Core-Update vorhanden.
Ein ungepatchtes Backup öffentlich zurückspielen
Ein älteres Backup kann die Sicherheitslücke erneut einführen. Vor einer Wiederinbetriebnahme muss das wiederhergestellte System aktualisiert und geprüft werden.
Verdächtige Dateien sofort löschen
Bei einem möglichen Sicherheitsvorfall können gelöschte Dateien und Protokolle wichtige Hinweise zerstören. Vor der Bereinigung sollte eine Kopie des betroffenen Systems gesichert werden.
Was bedeutet der Vorfall für die künftige WordPress-Betreuung
wp2shell zeigt, dass auch eine Internetseite mit wenigen Plugins kurzfristig von einer kritischen Sicherheitslücke betroffen sein kann. Für Unternehmen sollte WordPress deshalb als dauerhaft zu betreibende Anwendung behandelt werden.
WordPress selbst beschreibt Sicherheit als laufende Risikoreduzierung. Updates, Backups, eingeschränkte Zugriffsrechte, Logging und Monitoring bilden dabei mehrere miteinander kombinierte Schutzebenen.
Fazit
WordPress-Betreiber sollten wp2shell ernst nehmen und die installierte Core-Version umgehend kontrollieren. WordPress 6.8 benötigt mindestens Version 6.8.6. WordPress 6.9 muss auf mindestens 6.9.5 und WordPress 7.0 auf mindestens 7.0.2 aktualisiert werden.
Die hohe Priorität ergibt sich aus der Kombination mehrerer Faktoren. Die Schwachstelle befindet sich im WordPress-Core, ein Benutzerkonto ist nicht erforderlich und ein funktionsfähiger Proof of Concept ist bereits öffentlich verfügbar.
Nach dem Update sollte geprüft werden, ob die Internetseite während des ungepatchten Zeitraums verändert wurde. Bei Auffälligkeiten reicht eine normale Aktualisierung nicht aus. Dann ist eine strukturierte Untersuchung von Dateien, Benutzern, Datenbank, Serverprotokollen und Zugangsdaten erforderlich.
Sie benötigen Hilfe bei der WordPress-Aktualisierung?
Bei individuell angepassten WordPress-Internetseiten kann ein ungeprüftes Update zu Problemen mit Themes, Plugins, Formularen oder Schnittstellen führen. Gleichzeitig sollte ein kritisches Sicherheitsupdate nicht unnötig verschoben werden.
KonVis unterstützt Unternehmen bei der Sicherung, Aktualisierung und technischen Prüfung bestehender WordPress-Internetseiten. Dazu können je nach Ausgangslage die Versionskontrolle, das Einspielen des Sicherheitsupdates, Funktionstests und die Prüfung auf verdächtige Veränderungen gehören.
Hier finden Sie weitere Informationen WordPress Hilfe und Betreuung
Hier finden Sie weitere Informationen zu WordPress Internetseite von und mit Konvis
Quellen und weiterführende Informationen
Heise Online zur kritischen WordPress-Lücke wp2shell
Offizielle Veröffentlichung zu WordPress 7.0.2
WordPress-Dokumentation zur Version 7.0.2
GitHub Security Advisory zu CVE-2026-63030
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q
GitHub Security Advisory zu CVE-2026-60137
https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-fpp7-x2x2-2mjf
National Vulnerability Database zu CVE-2026-63030
https://nvd.nist.gov/vuln/detail/CVE-2026-63030
National Vulnerability Database zu CVE-2026-60137
https://nvd.nist.gov/vuln/detail/CVE-2026-60137
Technische Analyse der wp2shell-Schwachstelle durch Searchlight Cyber
Informationen zu den Cloudflare-WAF-Regeln
https://blog.cloudflare.com/wordpress-vulnerabilities
Offizielle WordPress-Anleitung für Aktualisierungen
WordPress-Dokumentation zur Prüfung der Core-Dateien mit WP-CLI
WordPress-Anleitung für kompromittierte Internetseiten
WordPress-Dokumentation zur Absicherung einer Installation
