Mit WP2Shell ist Ende Juli 2026 eine kritische WordPress Sicherheitslücke bekannt geworden, die nicht aus einem Plugin oder Theme stammt, sondern den WordPress-Core selbst betrifft. Laut offizieller BSI-Cyber-Sicherheitswarnung BITS-H 2026-271984 und der WordPress-Herstellermeldung vom 17.07.2026 kann die Schwachstellenkette im schlimmsten Fall zur vollständigen Server-Übernahme führen.
Wichtig ist: Es geht nicht darum, Panik zu machen. Es geht darum, jetzt sauber zu prüfen, ob deine Website betroffen ist, ob das Sicherheitsupdate wirklich installiert wurde und ob es Anzeichen für einen bereits erfolgten Angriff gibt. Gerade für Agenturen und Betreiber mehrerer WordPress-Seiten ist das ein Fall, der sofort in die Wartungsroutine gehört.
WP2Shell besteht aus zwei Schwachstellen, die kombiniert eine Pre-Authentication Remote Code Execution ermöglichen können. Das bedeutet: Ein entfernter Angreifer benötigt keinen Login, um unter bestimmten Bedingungen eigenen Code auf dem Server auszuführen. Der kombinierte CVSS-Score liegt bei 9,8 von 10; das BSI stuft die Kritikalität mit Orange ein, also Stufe 3: Maßnahmen unverzüglich ergreifen.
Die erste Schwachstelle, CVE-2026-60137, betrifft eine fehlerhafte Bereinigung des Parameters author__not_in bei WP_Query-Abfragen und ermöglicht SQL-Injection. Die zweite Schwachstelle, CVE-2026-63030, liegt in der WordPress-REST-API beim Endpunkt /wp-json/batch/v1. In Kombination kann daraus eine Angriffskette entstehen, die ohne Benutzerkonto zur Codeausführung führt.
Entdeckt wurde die Kette von Searchlight Cyber, teils mithilfe von KI. Dass solche WordPress-RCEs auf Exploit-Märkten sehr begehrt sind, macht die Lage zusätzlich ernst: WordPress ist weit verbreitet, automatisierte Scans sind schnell, und funktionierende Proof-of-Concepts kursierten bereits kurz nach Veröffentlichung.
Betroffen sind bestimmte aktuelle WordPress-Core-Versionen. Entscheidend ist nicht, welches Theme du nutzt oder welche Plugins aktiv sind, sondern welche WordPress-Version installiert ist. WordPress-Versionen älter als 6.8 gelten nach den vorliegenden Angaben nicht als betroffen.
Laut BSI gibt es aktive Ausnutzung. Das ist der Punkt, an dem eine WordPress Sicherheitslücke von einer theoretischen Meldung zu einem operativen Risiko wird. Automatisierte Angriffe können sehr schnell viele Installationen prüfen und kompromittieren, besonders wenn automatische Updates deaktiviert sind oder wegen Dateiberechtigungen nicht durchlaufen.
Mögliche Folgen reichen von eingeschleusten Cryptominern und Backdoors über Spam-Cloaking, Defacement und Ransomware bis hin zum Diebstahl von Kundendaten. Über die SQL-Injection können außerdem Passwort-Hashes aus der Tabelle wp_users ausgelesen und anschließend offline angegriffen werden. Auch wenn Passwörter gehasht sind, ist das kein Freifahrtschein zur Entwarnung.
Wenn deine Website nicht direkt am 17.07.2026 automatisch aktualisiert wurde, solltest du nicht nur patchen, sondern auch nach Spuren suchen. Besonders relevant sind Webserver-Logs, WordPress-Benutzerkonten, Datenbankeinträge und Veränderungen im Dateisystem.
Wenn du Hinweise auf eine Kompromittierung findest, reicht ein normales Update allein nicht mehr aus. Setze alle Nutzer-Passwörter zurück, beende aktive Sessions, isoliere das System soweit möglich und sichere Beweise, bevor du Dateien löschst. Prüfe außerdem verbundene Systeme wie Hosting-Konten, Datenbanken, E-Mail-Postfächer, CDN, Zahlungsanbieter und externe Integrationen.
In vielen Fällen ist ein sauberes Neuaufsetzen auf Basis geprüfter Backups die belastbarere Lösung als eine oberflächliche Bereinigung. Wichtig ist dabei, nicht einfach ein altes Backup einzuspielen, wenn unklar ist, ob es bereits kompromittiert war.
WP2Shell zeigt sehr deutlich, warum professionell betreute WordPress-Wartung kein Luxus ist. Wer automatische Sicherheitsupdates, Monitoring, Backups, Log-Prüfung und eine WAF sauber eingerichtet hatte, war in vielen Fällen innerhalb weniger Stunden geschützt, oft bevor die ersten Angriffe die eigene Seite erreichten.
Für Betreiber bedeutet das: Sicherheit ist kein einmaliger Haken im Dashboard, sondern ein laufender Prozess. Captain WordPress unterstützt bei akuten Sicherheitsfällen, bei der Bereinigung kompromittierter Websites und bei dauerhafter Wartung, damit kritische Updates, Monitoring und Schutzmaßnahmen nicht vom Zufall abhängen.
Fazit: Prüfe jetzt deine WordPress-Version, kontrolliere die REST-API-Zugriffe, suche nach Kompromittierungsindikatoren und handle bei Verdacht konsequent. Diese WordPress Sicherheitslücke ist ernst, aber mit schnellem Patchen, sauberer Prüfung und guter Wartung beherrschbar.
Nein. WP2Shell betrifft den WordPress-Core selbst. Deshalb kann auch eine Website ohne das übliche anfällige Plugin betroffen sein, wenn sie eine verwundbare WordPress-Version nutzt.
Wenn noch keine Kompromittierung stattgefunden hat, ist das Update die wichtigste Maßnahme. Wenn die Seite nicht sofort gepatcht wurde oder verdächtige Spuren zeigt, solltest du zusätzlich Logs, Benutzerkonten, Dateien und Datenbankeinträge prüfen.
Installiere eine gepatchte Version: 6.8.6, 6.9.5 oder 7.0.2. Für produktive Websites ist in der Regel eine stabile Version sinnvoll, keine Beta-Version.
Als temporäre Maßnahme kann das Blockieren anonymer REST-API-Zugriffe oder speziell von /wp-json/batch/v1 sinnvoll sein. Prüfe aber vorher, ob Funktionen wie Formulare, Shops, Apps oder Headless-Integrationen davon abhängen.
Behandle die Seite als kompromittiert. Sichere Beweise, beende Sessions, setze Passwörter zurück, prüfe Dateien und Datenbank und erwäge ein sauberes Neuaufsetzen aus geprüften Backups.
