wp2shell: Kritische WordPress-Lücke ermöglicht vollständige Übernahme
CVE-2026-63030 und CVE-2026-60137 werden zur Angriffskette wp2shell verkettet – Remote Code Execution ohne Anmeldung, ohne Plugin, ohne Klick. Betroffen: WordPress 6.8, 6.9 und 7.0.
WordPress-Notfallupdate: wp2shell bedroht Millionen Websites
WordPress hat außerplanmäßige Sicherheitsupdates veröffentlicht, die Betreiber nicht aufschieben sollten. Zwei Schwachstellen im Kern des Content-Management-Systems können miteinander kombiniert werden und Angreifern im schlimmsten Fall die Ausführung beliebigen Codes auf einem Webserver ermöglichen.
Die Angriffskette wird unter der Bezeichnung wp2shell geführt. Besonders kritisch: Ein Angreifer benötigt weder ein Benutzerkonto noch ein kompromittiertes Passwort, auch kein unsicheres Plugin oder Theme. Betroffen ist der WordPress-Kern selbst.
Die wichtigsten Fakten zu wp2shell
WordPress stuft eine der Schwachstellen als kritisch und die zweite als hochriskant ein. Automatische Zwangsaktualisierungen sind aktiv – der tatsächliche Update-Erfolg muss dennoch manuell verifiziert werden.
Welche WordPress-Versionen sind betroffen?
Die beiden Schwachstellen besitzen unterschiedliche Reichweiten. Deshalb reicht es nicht aus, nur auf die Hauptversion zu schauen.
| Version | Betroffenheit | Fix-Version |
|---|---|---|
| 6.8.0 – 6.8.5 | SQL-Injection (CVE-2026-60137) | 6.8.6 |
| 6.9.0 – 6.9.4 | Vollständige wp2shell-RCE-Kette | 6.9.5 |
| 7.0.0 – 7.0.1 | Vollständige wp2shell-RCE-Kette | 7.0.2 |
| 7.1 Beta 1 | Vollständige wp2shell-RCE-Kette | 7.1 Beta 2 |
| 6.8.6 / 6.9.5 / 7.0.2 / 7.1 Beta 2 | Abgesichert | — |
Versionen vor WordPress 6.8 sind laut Projekt von diesen beiden konkret veröffentlichten Schwachstellen nicht betroffen. Der Betrieb alter WordPress-Versionen bleibt dennoch riskant.
Die beiden CVEs hinter wp2shell
Bei wp2shell handelt es sich nicht um eine einzelne Schwachstelle, sondern um die Verkettung zweier Sicherheitsprobleme im WordPress-Kern.
| CVE | Problem | Betroffen | Fix |
|---|---|---|---|
| CVE-2026-63030 | Route Confusion im REST-API Batch-Endpunkt (/wp-json/batch/v1) | WordPress 6.9.x, 7.0.x | 6.9.5 / 7.0.2 |
| CVE-2026-60137 | SQL-Injection über WP_Query (Parameter author__not_in) | WordPress 6.8.x, 6.9.x, 7.0.x | 6.8.6 / 6.9.5 / 7.0.2 |
CVE-2026-63030 – Route Confusion
Im Batch-Endpunkt der WordPress REST API (/wp-json/batch/v1) werden mehrere Anfragen gebündelt verarbeitet. Eine fehlerhafte Zuordnung von Routen bringt Anfragen in einen falschen Verarbeitungskontext – in Kombination mit CVE-2026-60137 bis zur Codeausführung.
CVE-2026-60137 – SQL-Injection über WP_Query
Der Parameter author__not_in wird in betroffenen Versionen nicht ausreichend normalisiert. Angreifer können damit Datenbankabfragen manipulieren. Ab WordPress 6.9 in Kombination mit CVE-2026-63030 zur nicht authentifizierten RCE ausbaubar.
So funktioniert die wp2shell-Angriffskette
- 1Angreifer sendet manipulierte Anfrage an den REST-API Batch-Endpunkt (/wp-json/batch/v1).
- 2Durch Route Confusion (CVE-2026-63030) landet eine Anfrage im falschen Verarbeitungskontext.
- 3Der manipulierte Parameter author__not_in erreicht WP_Query, ohne ausreichend normalisiert zu werden.
- 4SQL-Injection (CVE-2026-60137) manipuliert Datenbankabfragen des WordPress-Kerns.
- 5Über die Verkettung wird beliebiger Code auf dem Webserver ausgeführt (RCE).
- 6Angreifer hinterlegt Webshell, legt Admin an und übernimmt die Website vollständig.
Warum Remote Code Execution so gefährlich ist
Kann ein Angreifer eigenen Code auf dem Webserver ausführen, muss grundsätzlich von einer vollständigen Kompromittierung ausgegangen werden. Ein nachträglich installiertes Sicherheitsupdate entfernt keine bereits eingeschleuste Schadsoftware.
Was Sie jetzt tun sollten – im Überblick
Die folgende Übersicht fasst die sechs wichtigsten Sofortmaßnahmen kompakt zusammen. Zum Vergrößern anklicken – die Detailerklärung folgt unmittelbar darunter.
Klicken zum Vergrößern: Betroffene Versionen, sichere Versionen und die 6 Sofortmaßnahmen bei wp2shell.
Sechs Sofortmaßnahmen – textlich ausformuliert
Mindestens auf 6.8.6 / 6.9.5 / 7.0.2 aktualisieren. Update nicht nur anstoßen – Erfolg kontrollieren.
Dateien, Datenbank und Konfiguration vollständig sichern. Backup extern speichern – nicht auf dem Webserver.
Neue Admins, unbekannte Dateien, Webshells, Manipulationen und verdächtige Plugins/Themes kontrollieren.
Passwörter, Datenbank-Zugang, FTP/SSH, API-Schlüssel und Sicherheitsschlüssel (wp-config.php) erneuern.
Alle Erweiterungen und Themes auf den neuesten Stand bringen. Nicht benötigte Komponenten löschen – nicht nur deaktivieren.
Server- und Zugriffsprotokolle sichern und auf auffällige Aktivitäten prüfen.
Wichtig: Die von WordPress angestoßene Zwangsaktualisierung garantiert nicht, dass Ihre Installation tatsächlich aktualisiert wurde. Automatische Updates können durch Berechtigungen, WP-Cron, WAFs oder Hoster-Konfigurationen scheitern. Kontrollieren Sie die tatsächlich laufende Versionsnummer.
Keine Plugins notwendig – das macht wp2shell besonders brisant
WordPress-Sicherheitsmeldungen betreffen häufig einzelne Plugins. Bei wp2shell liegt die Situation anders: Die verwundbaren Komponenten befinden sich direkt im WordPress-Kern. Dadurch kann grundsätzlich auch eine weitgehend unveränderte Standardinstallation betroffen sein.
Automatisierte Angriffssysteme durchsuchen das Internet nach neu veröffentlichten Sicherheitslücken. Ein öffentlicher Proof of Concept liegt bereits vor – die Hürde für Nachahmer sinkt damit erheblich.
Reichweite: fast jede zweite Website mit WordPress-Version 7
Nach den aktuellen Erhebungen von W3Techs wird WordPress auf rund 41,2 Prozent aller erfassten Websites eingesetzt. Unter den Websites mit einem bekannten CMS liegt der WordPress-Anteil bei etwa 59,1 Prozent.
Quelle: W3Techs, Stand 18. Juli 2026. Die Zahlen sagen nichts über die genaue Unterversion aus, verdeutlichen aber die enorme potenzielle Angriffsfläche.
Temporäre Schutzmaßnahmen, wenn ein Update nicht sofort möglich ist
Ein Update ist die bevorzugte und dauerhafte Lösung. Ist eine sofortige Aktualisierung aus zwingenden Gründen nicht möglich, kann der verwundbare REST-API-Batch-Endpunkt vorübergehend über eine Web Application Firewall oder den Webserver eingeschränkt werden.
Eine pauschale Sperrung kann legitime Plugin- oder App-Integrationen beeinträchtigen. Nur als kurzfristige Notmaßnahme einsetzen, testen und dokumentieren.
Datenschutz: Wann ein Vorfall meldepflichtig werden kann
Eine verwundbare WordPress-Installation allein ist noch keine bestätigte Datenschutzverletzung. Gibt es jedoch Hinweise darauf, dass Angreifer auf personenbezogene Daten zugreifen konnten, muss der Vorfall unverzüglich bewertet werden.
Nach Artikel 33 DSGVO kann eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden erforderlich werden, sobald eine meldepflichtige Verletzung bekannt ist. Analyse, Zeitablauf, betroffene Systeme und getroffene Maßnahmen sollten nachvollziehbar dokumentiert werden.
Wasacon-Perspektive
wp2shell ist kein klassisches Plugin-Problem. Weil die Schwachstellen im Kernsystem selbst liegen, sind auch saubere Standardinstallationen betroffen. Automatische Zwangsupdates sind eine Schadensbegrenzung – sie ersetzen weder strukturiertes Patch-Management noch die forensische Prüfung, ob eine Website bereits vor dem Update kompromittiert wurde.
Deshalb gehören neben dem Update auch Patch- und Schwachstellenmanagement, gepflegte WordPress-Betreuung, getrennte Offsite-Backups und konsequente Härtung von Administrationszugängen zur Absicherung.
Mehr aus dieser Themenwelt
FAQ zu wp2shell
Fazit
Die Schwachstellen hinter wp2shell treffen WordPress an einer besonders sensiblen Stelle: dem Kernsystem und dessen REST API. Durch die Kombination aus einer fehlerhaften Verarbeitung von Batch-Routen und einer SQL-Injection kann ein anonymer Angreifer auf betroffenen WordPress-Versionen unter Umständen beliebigen Code ausführen.
WordPress hat mit den Versionen 6.8.6, 6.9.5 und 7.0.2 reagiert und automatische Sicherheitsupdates angestoßen. Betreiber sollten dennoch sofort kontrollieren, ob ihre Systeme tatsächlich aktualisiert wurden. Neben dem Patch gehört auch eine Überprüfung auf eine mögliche frühere Kompromittierung zum Pflichtprogramm.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
