WordPress wp2shell-Sicherheitslücke: Warum Sie jetzt sofort auf Version 7.0.2 updaten sollten

Am 17. Juli 2026 hat das WordPress-Sicherheitsteam ein Notfall-Update veröffentlicht, das zwei kritische Schwachstellen schließt, die in Kombination als „wp2shell“ bekannt wurden. Wer WordPress in einer Version zwischen 6.8.0 und 7.0.1 betreibt, ist ohne Update angreifbar – ganz ohne Login und ohne verwundbares Plugin. Erste Berichte über aktive Ausnutzung liegen bereits vor. Website-Betreiber sollten die aktuelle Version ihrer Installation umgehend prüfen und gegebenenfalls sofort aktualisieren.

Was ist die wp2shell-Sicherheitslücke?

„wp2shell“ bezeichnet keine einzelne Schwachstelle, sondern eine Kette aus zwei zusammenwirkenden Sicherheitsproblemen im WordPress-Core, die das offizielle WordPress-Sicherheitsteam am 17. Juli 2026 im Release-Post zu Version 7.0.2 dokumentiert hat:

• CVE-2026-60137 (hohe Schwere): eine SQL-Injection im author__not_in-Parameter der Core-Klasse WP_Query. Für sich genommen ist diese Lücke durch eine Blockliste auf angemeldete Nutzer beschränkt.
• CVE-2026-63030 (kritische Schwere): ein Logikfehler im REST-API-Batch-Endpunkt (/wp-json/batch/v1), der dazu führt, dass bei parallel verarbeiteten Unteranfragen die Berechtigungsprüfung der falschen Route angewendet wird – eine sogenannte „Batch-Route-Konfusion“.

Das eigentliche Risiko entsteht durch die Kombination: CVE-2026-63030 hebelt die Zugriffsbeschränkung von CVE-2026-60137 aus. Dadurch wird die SQL-Injection für nicht angemeldete, anonyme Angreifer nutzbar – ganz ohne Benutzerkonto, ohne Plugin und auf einer WordPress-Standardinstallation. Sicherheitsforscher von VulnCheck beschreiben einen realistischen Angriffsweg über das Auslesen des Admin-Passwort-Hashes per SQL-Injection, dessen Offline-Entschlüsselung und den anschließenden Upload einer Webshell – daher der Name „wp2shell“.

Welche WordPress-Versionen sind betroffen?

Betroffen sind laut offizieller WordPress-Ankündigung folgende Versionsbereiche:

• WordPress 6.8.0 bis 6.8.5
• WordPress 6.9.0 bis 6.9.4
• WordPress 7.0.0 bis 7.0.1

Versionen vor 6.8 sind nicht betroffen, da der REST-API-Batch-Endpunkt in dieser Form erst später eingeführt wurde. Behoben ist die Lücke in den Versionen 6.8.6, 6.9.5 und 7.0.2 sowie in Beta 2 des kommenden 7.1-Zweigs. Aufgrund der Schwere hat WordPress.org für diesen Fall automatische Hintergrund-Updates verstärkt ausgerollt – Website-Betreiber sollten sich darauf aber nicht allein verlassen, sondern die tatsächlich installierte Version im Dashboard unter „Dashboard → Updates“ selbst kontrollieren.

Wird die „wp2shell“-Lücke bereits aktiv ausgenutzt?

Ja. Mehrere Sicherheitsdienstleister (unter anderem Patchstack und watchTowr) meldeten erste Ausnutzungsversuche bereits im Zeitraum wenige Stunden bis wenige Tage nach der Veröffentlichung des Patches am 17. Juli 2026. Auch das Sicherheits-Plugin Wordfence bestätigte die aktive Bedrohungslage in einer eigenen Warnmeldung. Proof-of-Concept-Exploits sind seither öffentlich im Umlauf, was das Risiko zusätzlich erhöht: Sobald eine Schwachstelle öffentlich dokumentiert und technisch nachvollziehbar ist, beginnen automatisierte Scans in der Regel innerhalb kurzer Zeit.

Zur Einordnung: WordPress betreibt schätzungsweise über 500 Millionen Websites weltweit – das ist die gesamte Installationsbasis, nicht die Zahl tatsächlich verwundbarer Seiten. Wie viele Websites konkret noch auf einer betroffenen, ungepatchten Version laufen, lässt sich seriös nicht exakt beziffern. Da WordPress aber weiterhin das mit Abstand meistgenutzte CMS ist, dürfte die absolute Zahl ungepatchter, angreifbarer Installationen dennoch erheblich sein.

Wie schützen Sie Ihre Website jetzt?

1. Version prüfen: Loggen Sie sich ins WordPress-Dashboard ein und prüfen Sie unter „Dashboard → Updates“ die installierte Version. Bei Multisite- oder Managed-Hosting-Umgebungen sollte zusätzlich beim Hoster nachgefragt werden, ob das Sicherheitsupdate bereits automatisch eingespielt wurde.
2. Sofort aktualisieren: Ist die Website auf einer der betroffenen Versionen, sollte das Update auf 6.8.6, 6.9.5 oder 7.0.2 mit höchster Priorität erfolgen – im Zweifel noch vor anderen laufenden Arbeiten am Tag.
3. Notfall-Fix, falls ein sofortiges Update nicht möglich ist: Wer aus organisatorischen Gründen (z. B. Freigabeprozesse bei individuell angepassten Systemen) nicht sofort updaten kann, sollte den betroffenen REST-Endpunkt serverseitig blockieren (siehe Code-Snippet unten).
4. Nach dem Update auf Spuren einer Kompromittierung prüfen: Insbesondere wenn zwischen dem 17. Juli 2026 und dem eigenen Update mehrere Tage vergangen sind, empfiehlt sich ein Blick auf unbekannte Administrator-Konten unter „Benutzer“, unerwartete Dateien im wp-content/uploads-Verzeichnis sowie ein Passwort-Reset für alle Administrator-Zugänge.

Code-Snippet: REST-API-Batch-Route temporär blockieren (.htaccess)

Folgende Regel kann als temporäre Notfalllösung in die .htaccess eingetragen werden. Sie ersetzt kein Update, verringert aber kurzfristig die Angriffsfläche:

# Temporäre Notfall-Mitigation gegen wp2shell (CVE-2026-63030)
# Ersetzt NICHT das Sicherheitsupdate auf 6.8.6 / 6.9.5 / 7.0.2!
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_URI} ^/wp-json/batch/v1 [OR]
RewriteCond %{QUERY_STRING} rest_route=/batch/v1 [NC]
RewriteRule ^ - [F,L]
</IfModule>

Warum betrifft das auch Nutzer von WordPress 7.0 „Armstrong“?

WordPress 7.0 mit dem Codenamen „Armstrong“ erschien am 20. Mai 2026 und brachte unter anderem einen neuen, herstellerunabhängigen AI-Client in den Core, mit dem sich WordPress an externe KI-Modelle anbinden lässt. Da die verwundbare REST-API-Logik seit Version 6.9 im Core steckt, ist auch die aktuelle 7.0-Reihe bis einschließlich 7.0.1 betroffen – unabhängig davon, ob die neuen KI-Funktionen überhaupt genutzt werden.

FAQ zu „wp2shell“

Was genau ist die wp2shell-Sicherheitslücke?
Es handelt sich um eine Kombination aus zwei WordPress-Core-Schwachstellen (CVE-2026-60137 und CVE-2026-63030), die zusammen eine SQL-Injection ohne Anmeldung ermöglichen und im ungünstigsten Fall bis zur vollständigen Serverkompromittierung führen können. Behoben ist das Problem in den Versionen 6.8.6, 6.9.5 und 7.0.2.

Wurde meine Website automatisch aktualisiert?
WordPress.org hat wegen der Schwere verstärkt automatische Hintergrund-Updates ausgerollt, doch das funktioniert nicht in jeder Hosting-Umgebung zuverlässig, etwa bei deaktivierten Auto-Updates oder eingeschränkten Dateirechten. Die tatsächlich installierte Version sollte deshalb immer manuell im Dashboard kontrolliert werden.

Woran erkenne ich, ob meine Website bereits kompromittiert wurde?
Typische Anzeichen sind unbekannte Administrator-Konten, unerwartete Dateien im Uploads-Verzeichnis, veränderte Startseiten-Inhalte oder ungewöhnlich hohe Serverlast. Im Zweifel empfiehlt sich eine fachliche Prüfung durch eine WordPress-Agentur oder einen spezialisierten Sicherheitsdienst.

Sind auch Plugins oder Themes von wp2shell betroffen?
Nein, die Schwachstelle liegt im WordPress-Core selbst, konkret in der REST-API und der Abfrageklasse WP_Query. Sie ist unabhängig von installierten Plugins oder Themes vorhanden und wirkt bereits auf einer Standardinstallation.

Muss ich als Website-Betreiber ohne technisches Fachwissen selbst etwas tun?
Zumindest sollte kurzfristig geprüft werden, ob die eigene Website oder die des Hosting-Dienstleisters bereits aktualisiert wurde. Für die technische Umsetzung des Updates und eine Prüfung auf Kompromittierung empfiehlt sich die Unterstützung durch den betreuenden Hoster oder eine WordPress-Agentur.

MEWIGO unterstützt Sie gerne

MEWIGO ist seit 2007 als Werbe- und WordPress-Agentur in Berlin tätig und verfügt über mehr als 19 Jahre Erfahrung in der Betreuung von WordPress-Projekten – von der technischen Wartung bis zur Absicherung gegen genau solche kurzfristig auftretenden Sicherheitslücken.

Über 300 TOP-Bewertungen mit einer Durchschnittsnote von 4,91 von 5 Sternen bestätigen die verlässliche technische Betreuung durch das interdisziplinäre Team aus WordPress-Entwicklern, UX/UI-Designerin, Projektmanagement und SEO-Spezialistin. Wer nicht sicher ist, ob die eigene Website von der wp2shell-Lücke betroffen ist, sollte uns einfach kontaktieren oder sich direkt zur professionellen WordPress-Wartung beraten lassen.

Nützliche Links

• WordPress.org: Offizieller Release-Post WordPress 7.0.2
• The Hacker News: New wp2shell WordPress Core Flaw
• webhosting.today: An Unauthenticated Path to Code Execution in WordPress Core
• CyberInsider: WordPress releases emergency update for critical wp2shell RCE flaw
• Help Net Security: Two new high severity WordPress vulnerabilities
• WordPress.org: Offizieller Release-Post WordPress 7.0 „Armstrong“