wp2shell: Die kritische WordPress-Sicherheitslücke, die auch nach dem Update noch Spuren hinterlassen kann

Das Wichtigste auf einen Blick

• Was ist wp2shell: Zwei verkettete WordPress-Core-Schwachstellen (CVE-2026-63030, CVE-2026-60137), die unauthentifizierten Angreifern vollständigen Zugriff ermöglichten
• Schweregrad: CVSS 9,8 von 10 — eine der kritischsten WordPress-Core-Lücken der letzten Jahre
• Betroffen: WordPress 6.9.0–6.9.4 sowie 7.0.0–7.0.1 vollständig; die SQL-Injection-Komponente reicht zurück bis Version 6.8
• Behoben in: WordPress 6.8.6, 6.9.5 und 7.0.2 — veröffentlicht am 17. Juli 2026
• Der kritische Punkt: Ein Update schließt nur die Lücke für die Zukunft — bereits gesetzte Backdoors, fremde Administrator-Konten oder manipulierte Datenbankeinträge bleiben davon unberührt
• Sofortmaßnahme: WordPress-Version prüfen, auf aktuelle Version aktualisieren, anschließend auf Kompromittierungs-Spuren untersuchen

Was ist wp2shell genau?

wp2shell ist kein einzelner Fehler, sondern die Kombination zweier Schwachstellen im WordPress-Core: eine unzureichende Eingabebereinigung des Parameters author__not_in in der Kernkomponente WP_Query, kombiniert mit einem Routenverarbeitungsfehler in der REST-API. Durch die Verknüpfung beider Fehler gelingt es unauthentifizierten Angreifern, Schadcode einzuschleusen und auszuführen — ohne Benutzeranmeldung, unabhängig von installierten Plugins, direkt auf einer WordPress-Standardinstallation.

Am 17. Juli 2026 hat WordPress mit den Versionen 7.0.2, 6.9.5 und 6.8.6 diese Sicherheitslücke im CVSS-Höchstbereich geschlossen. Über eine Verwechslung in der REST-Batch-Schnittstelle konnten anonyme Angreifer ohne Login Schadcode auf einer ganz normalen WordPress-Installation ausführen — kein Plugin, kein Benutzerkonto, keine besondere Konfiguration nötig.

Entdeckt wurde die Lücke von Sicherheitsforschenden bei Assetnote, einem Teil von Searchlight Cyber. Bemerkenswert dabei: Nach eigener Aussage der Entdecker machte KI-gestützte Analyse die Reproduktion der Schwachstelle und die Entwicklung eines funktionierenden Angriffscodes deutlich einfacher — das senkt die technische Hürde für die Erstellung von Exploit-Code erheblich, sobald ausreichend Details öffentlich verfügbar sind.

Die Reaktion der Angreifer-Community war entsprechend schnell: Innerhalb eines Tages erschien öffentlicher Proof-of-Concept-Code, massenhafte Ausnutzung folgte innerhalb von rund 48 Stunden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Bedrohungslage als hoch ein und hebt hervor, dass bereits erste reale Angriffsversuche registriert wurden.

Warum ein Update allein nicht ausreicht

Das ist der Punkt, den viele Website-Betreiber übersehen — und der bei wp2shell besonders wichtig ist: Ein WordPress-Update schließt zwar die Sicherheitslücke, es entfernt aber keine bereits installierten Backdoors.

Das Update stopft das Einfallstor, entfernt aber keine Hintertür, keinen fremden Admin-Account und keine manipulierten Datenbankeinträge, die ein Angreifer davor hinterlassen hat. Wurde eine Seite kompromittiert, muss sie zusätzlich gründlich bereinigt und gehärtet werden.

Das Tückische dabei: Man bemerkt einen erfolgreichen Angriff häufig zunächst überhaupt nicht. Die Website funktioniert scheinbar normal, das Backend funktioniert, Beiträge können bearbeitet werden — und trotzdem befindet sich im Hintergrund bereits eine Backdoor auf dem Server.

Typischerweise hinterlässt ein erfolgreicher Angriff eine oder mehrere dieser Spuren:

• Eine Hintertür (Backdoor) — verschafft dem Angreifer auch nach einem Update noch heimlichen Zugriff
• Eine Webshell — eine getarnte Datei, über die Befehle auf dem Server ausgeführt werden können, oft als harmlose Datei maskiert
• Datenabfluss — über die SQL-Injection lassen sich Inhalte der Datenbank auslesen, etwa Benutzerkonten

Sind Sie betroffen? So prüfen Sie in 5 Minuten

Schritt 1 — WordPress-Version prüfen

Melden Sie sich im Verwaltungsbereich Ihrer Website an (Adresse mit „/wp-admin” am Ende) und schauen Sie im Dashboard-Menü nach der aktuellen Versionsnummer. Läuft bereits 6.8.6, 6.9.5 oder 7.0.2 (oder neuer), ist die Lücke geschlossen.

Schritt 2 — Nicht blind vertrauen, auch bei aktueller Version

Auch wenn Sie aktuell eine sichere WordPress-Version einsetzen, bedeutet das nicht zwangsläufig, dass das Update rechtzeitig eingespielt wurde. Wenn Ihre Website zwischen dem 17. Juli 2026 und der Aktualisierung öffentlich erreichbar war, sollten Sie auf Kompromittierungs-Spuren prüfen — unabhängig davon, ob das Update inzwischen erfolgt ist.

Schritt 3 — Auf typische Warnzeichen achten

Typische Anzeichen für einen erfolgreichen wp2shell-Angriff sind: neue, Ihnen unbekannte Benutzer mit Administrator-Rechten in Ihrem Dashboard, oder plötzliche Weiterleitungen von Besuchern auf fremde Spam- oder Werbeseiten. Weitere Hinweise sind fremde PHP-Dateien in ungewöhnlichen Verzeichnissen, unerklärliche Spam-Inhalte oder Sicherheitswarnungen von Google.

Schritt 4 — Einzelne Symptome nicht überbewerten, aber ernst nehmen

Keines dieser Anzeichen beweist für sich allein einen wp2shell-Angriff — treten aber mehrere gleichzeitig auf, sollte die Installation dringend genauer untersucht werden. Besonders vorsichtig sollten Sie sein, wenn Ihre Website im fraglichen Zeitraum nicht aktuell war oder sich das Verhalten von Login, Weiterleitungen oder Adminbereich plötzlich verändert hat.

Was Sie jetzt konkret tun sollten

1. WordPress-Core sofort aktualisieren auf 6.8.6, 6.9.5, 7.0.2 oder neuer — falls noch nicht automatisch geschehen
2. Administrator-Konten vollständig durchsehen — jedes unbekannte oder nicht zuordenbare Konto ist ein ernstzunehmendes Warnsignal
3. Plugin-Verzeichnis und Dateisystem auf unbekannte Dateien prüfen — insbesondere in Cache- und mu-plugins-Verzeichnissen
4. Bei Unsicherheit: professionell prüfen lassen, statt verdächtige Dateien vorschnell selbst zu löschen

Zum letzten Punkt ein wichtiger Hinweis: Eine Bereinigung sollte nicht hektisch und nicht nach dem Prinzip „alles Verdächtige löschen” erfolgen. Gerade im WordPress-Core sehen legitime Systemdateien und manipulierte Dateien für Ungeübte schnell ähnlich aus. Wer ohne Prüfung löscht, riskiert zusätzlich einen Ausfall oder zerstört wichtige Spuren für die spätere Analyse.

Für den Fall einer bestätigten Kompromittierung gilt eine klare Reihenfolge: Lücke schließen, Befund sichern, System prüfen, Schadcode verifizieren und entfernen, Zugänge erneuern, dauerhaft überwachen. Eine ausführliche Anleitung zum generellen Vorgehen bei einer gehackten WordPress-Website finden Sie in unserem Beitrag WordPress gehackt — was tun?

Warum das für Unternehmen aus Düsseldorf und dem Rheinland besonders relevant ist

Viele kleine und mittlere Unternehmen betreiben ihre WordPress-Website ohne laufende technische Betreuung — Updates werden unregelmäßig oder gar nicht eingespielt, Sicherheitswarnungen bleiben unbemerkt. Genau das macht wp2shell für diese Zielgruppe besonders gefährlich: Eine kompromittierte Website kann wochenlang unbemerkt Schadcode verbreiten, Kundendaten preisgeben oder für Suchmaschinen-Spam missbraucht werden, bevor der Betreiber überhaupt etwas bemerkt.

In unserer WordPress-Wartung prüfen wir betreute Websites systematisch auf genau solche Kompromittierungs-Spuren — nicht erst, wenn ein Problem sichtbar wird, sondern proaktiv nach bekannten Sicherheitsvorfällen wie diesem.

Fazit: Update ist Pflicht, Prüfung ist Empfehlung

wp2shell zeigt eindrücklich, wie schnell eine einzige Logikschwäche im Kern eines weit verbreiteten Systems zur echten Bedrohung für tausende Websites werden kann. Wer beim Patchen zögert, überlässt Angreifern die volle Kontrolle über die eigene Infrastruktur — das Update ist daher nicht verhandelbar.

Genauso wichtig aber: Das Update allein beantwortet nicht die Frage, ob Ihre Website in der Zwischenzeit bereits angegriffen wurde. Diese Unsicherheit sollten Sie nicht auf sich beruhen lassen.

Als WordPress-Agentur aus Düsseldorf unterstützen wir Unternehmen aus dem DACH-Raum dabei, genau diese Lücke zwischen „Update installiert” und „Website ist sicher” zu schließen.

Häufig gestellte Fragen zu wp2shell

Was ist der Unterschied zwischen wp2shell und einer gewöhnlichen Sicherheitslücke?

wp2shell betrifft direkt den WordPress-Core und nicht ein einzelnes Plugin oder Theme. Dadurch sind auch Websites betroffen, die ansonsten technisch sauber und minimalistisch aufgesetzt sind — ohne unsichere Zusatzsoftware. Das macht die Lücke besonders weitreichend.

Reicht ein WordPress-Update aus, um meine Website zu schützen?

Ein Update schließt die Sicherheitslücke zuverlässig für die Zukunft. Es entfernt jedoch keine Backdoors, fremden Administrator-Konten oder manipulierten Datenbankeinträge, die ein Angreifer vor dem Update bereits hinterlassen hat. Bei kritischen Lücken wie dieser sollte deshalb zusätzlich eine Kompromittierungsprüfung erfolgen.

Wie erkenne ich, ob meine WordPress-Seite bereits angegriffen wurde?

Typische Warnzeichen sind unbekannte Administrator-Konten, unerklärliche Weiterleitungen auf fremde Seiten, plötzlicher Spam-Content oder Sicherheitswarnungen von Google. Kein einzelnes Anzeichen ist ein Beweis — mehrere gleichzeitig auftretende Symptome sind jedoch ein klares Alarmsignal.

Was mache ich, wenn ich einen unbekannten Administrator-Account finde?

Löschen Sie ihn nicht vorschnell selbst, sondern lassen Sie zunächst die Herkunft und das Ausmaß der Kompromittierung professionell prüfen. Vorschnelles Löschen kann wichtige Spuren für die weitere forensische Analyse zerstören.

Bin ich automatisch geschützt, wenn ich automatische Updates aktiviert habe?

In den meisten Fällen ja — WordPress hat aufgrund der Schwere der Lücke erzwungene automatische Updates für betroffene Installationen aktiviert. Verlassen Sie sich bei einer derart kritischen Lücke dennoch nicht allein darauf, sondern prüfen Sie Ihre Version aktiv nach.

Bietet wolpersweb einen wp2shell-Check an?

Ja. Im Rahmen unserer WordPress-Wartung prüfen wir betreute Websites proaktiv auf Kompromittierungs-Spuren. Auch für Websites ohne bestehenden Wartungsvertrag bieten wir einen kostenlosen Kurzcheck an.