WordPress-Sicherheitslücke WP2Shell: Jetzt umgehend aktualisieren

Wenn Sie eine WordPress-Website verwalten, haben Sie in den letzten Wochen höchstwahrscheinlich von "WP2Shell" gehört. Diese im Juli 2026 aufgedeckte Sicherheitslücke betrifft kein unbekanntes Plugin und kein schlecht programmiertes Theme: Sie trifft den Core-Code von WordPress direkt. Hier sind die Details und die Gründe, warum eine proaktive Überwachung Ihrer Updates wichtiger ist denn je.

Was ist WP2Shell?

WP2Shell ist keine einzelne Sicherheitslücke, sondern eine Kombination zweier unabhängiger Schwachstellen, die Sicherheitsforscher miteinander verketten konnten:

• CVE-2026-63030: Ein Routing-Fehler im Batch-Processing-Endpunkt der WordPress REST-API (/wp-json/batch/v1).
• CVE-2026-60137: Eine SQL-Injection, die sich ebenfalls im WordPress-Core befindet.

In Kombination ermöglichen diese zwei Schwachstellen einem Angreifer, ohne jegliches Benutzerkonto oder Anmeldedaten die vollständige Kontrolle über eine WordPress-Website in ihrer Standardkonfiguration zu erlangen. Kein anfälliges Plugin erforderlich, keine spezielle Konfiguration nötig: Eine einfache Standard-Installation reicht völlig aus.

Der Name "WP2Shell" bringt das Problem auf den Punkt: Mit wenigen gezielten Anfragen kann ein Fremder eine Standard-WordPress-Installation in ein Einfallstor verwandeln, um eine schädliche Shell zu platzieren und beliebigen Code auf dem Server auszuführen.

Eine KI-gestützte Entdeckung

Ein bemerkenswertes Detail dieser Angelegenheit: Die Sicherheitslücke wurde nicht durch das manuelle Durchsuchen von Tausenden Zeilen Code entdeckt. Die Sicherheitsforscher von Searchlight Cyber nutzten ein KI-Modell, um den Quellcode von WordPress zu analysieren und die Schwachstellenkette zu identifizieren. Ein Zeichen der Zeit: Die Suche nach Sicherheitslücken setzt immer stärker auf künstliche Intelligenz, um umfangreiche Codebasen zu durchleuchten und Verkettungen von Fehlern aufzuspüren, für die ein klassisches menschliches Audit deutlich länger benötigen würde.

Das Verhältnis von Kosten zu Auswirkung ist schwindelerregend: Der ausfindig machende Forscher schätzt, dass er in rund zehn Arbeitsstunden etwa 25 US-Dollar an KI-Tokens ausgegeben hat, um diese Schwachstellenkette zu finden. Ein solcher Sicherheitslückentyp - eine Remotecodeausführung ohne Authentifizierung bei WordPress - wird auf dem Markt für Exploit-Broker üblicherweise mit bis zu 500 000 US-Dollar gehandelt. Fünfundzwanzig Dollar Rechenleistung gegenüber einer halben Million Dollar potentiellem Wert: Dieser Abstand verdeutlicht, wie schnell sich diese Art der Sicherheitsforschung verbreiten wird.

Welche Websites sind betroffen?

Die betroffenen Versionen sind:

• WordPress 6.9.0 bis 6.9.4
• WordPress 7.0.0 bis 7.0.1

Da WordPress einen sehr großen Anteil aller Websites weltweit betreibt (~40% im Jahr 2026), ist das potenzielle Ausmaß dieser Sicherheitslücke beträchtlich. Es geht um Dutzende oder gar Hunderte Millionen betroffene Installationen.

Maximale Schwere, fast unmittelbare Ausnutzung

Diese Schwachstelle wurde mit einer Schwerebewertung nahe dem Maximum eingestuft. Noch schlimmer: Die aktive Ausnutzung begann nahezu zeitgleich mit der öffentlichen Bekanntgabe. Innerhalb weniger Tage zirkulierten Dutzende automatisierte Exploit-Tools, und die US-amerikanische Cybersicherheitsbehörde (CISA) nahm die beiden CVEs in ihren Katalog aktiv ausgenutzter Schwachstellen auf.

Untersuchungen aus dieser Zeit zeigten, dass die Mehrheit der Organisationen mit WordPress zum Zeitpunkt der Veröffentlichung mindestens eine anfällige Instanz betrieb. Ein erheblicher Teil dieser anfälligen Websites war direkt über das Internet erreichbar und somit Angreifern unmittelbar ausgesetzt.

Die Rolle der Hoster: Ein Sicherheitsnetz für einen Teil des Webs

Ein wichtiger Aspekt dieser Krise verdient besondere Erwähnung: Nicht alle WordPress-Websites waren in gleichem Maße gefährdet. Einigen großen Hostern und Infrastruktur-Anbietern, darunter Automattic, Bluehost, Cloudflare, GoDaddy, Hostinger und WP Engine, wurde vorab etwa 24 Stunden vor der öffentlichen Bekanntgabe über einen vertraulichen Kanal Zugang zu den Informationen gewährt. Dadurch konnten sie noch vor der offiziellen Ankündigung Schutzmaßnahmen oder Web-Application-Firewall-Regeln vorbereiten und ausrollen - teilweise bevor die Website-Betreiber überhaupt von dem Problem erfuhren.

In Kombination mit den von WordPress.org veranlassten automatischen Zwangs-Updates konnte dieses Sicherheitsnetz das Zeitfenster für Angriffe auf vielen dieser gehosteten Websites deutlich verkürzen. Dennoch bietet dieser Schutz keine hundertprozentige Garantie: Websites mit deaktivierten automatischen Updates, solche, die über individuelle Pipelines am nativen Update-System vorbeigeschleust werden, oder Angebote kleinerer Hoster ohne Vorabzugang blieben vollständig verwundbar. Umso wichtiger ist es, die installierte Version selbst zu prüfen, anstatt sich darauf zu verlassen, dass "sich schon jemand darum gekümmert hat".

Chronologie der Krise

• 16. Juli 2026: Etwa 24 Stunden vor der öffentlichen Veröffentlichung erhalten mehrere große Hoster und Infrastruktur-Anbieter Vorabzugang zu den Details.
• 17. Juli: Öffentliche Bekanntgabe der Sicherheitslücke und zeitgleiche Veröffentlichung des Patches (WordPress 6.9.5 und 7.0.2). WordPress und informierte Partner rollen ein erzwungenes automatisches Update für betroffene Websites aus - ein deutliches Zeichen für den Ernst der Lage.
• 19. Juli: Mehr als 20 öffentliche Proof-of-Concept-Exploits (PoC) werden gezählt, nur zwei Tage nach der Veröffentlichung.
• 21. Juli: Die beiden Schwachstellen werden in den CISA-Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen.
• 22. Juli: Veröffentlichung der vollständigen technischen Details der Exploit-Kette, was die Verbreitung von Angriffswerkzeugen weiter beschleunigt.

Dieser Zeitablauf verdeutlicht eine Entwicklung, die immer häufiger zu beobachten ist: Die Zeitspanne zwischen der Aufdeckung einer kritischen Sicherheitslücke und ihrer massenhaften Ausnutzung wird inzwischen in Stunden gemessen, nicht mehr in Wochen.

Was sollten Sie tun, wenn Sie betroffen sind?

1. Überprüfen Sie umgehend die verwendete WordPress-Version auf Ihrer Website.
2. Aktualisieren Sie auf Version 6.9.5, 7.0.2 oder höher.
3. Falls ein sofortiges Update nicht möglich ist, besteht eine vorübergehende Maßnahme darin, den anonymen Zugriff auf den betroffenen Endpunkt über Ihre Web-Application-Firewall zu blockieren.
4. Untersuchen Sie Ihre Website auf Anzeichen einer Kompromittierung vor dem Update: unbekannte Administrator-Konten, verdächtige Dateien, nicht selbst installierte Plugins. Es gibt auch Tools, die wesentliche Anzeichen automatisch überprüfen.

Warum proaktives Management den Unterschied macht

Der Fall WP2Shell zeigt eindrücklich, dass das Abwarten bis man "mal an ein Update denkt" keine funktionierende Strategie mehr ist. Wenn eine kritische Sicherheitslücke den WordPress-Core betrifft und kurz nach ihrer Bekanntgabe massenhaft ausgenutzt wird, zählt jede Stunde ohne Patch.

Quellen

• WordPress.org, Version 7.0.2 - Release Notes und WordPress 7.0.2 Release - WordPress News
• Searchlight Cyber, Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT5.6 Sol Ultra and $25

Automatisch von einer KI übersetzt.