WordPress-Lücke „wp2shell“: Ist meine Seite betroffen?
⚠ Sicherheitswarnung
„wp2shell“ ist eine kritische Sicherheitslücke im WordPress-Kern (Höchststufe CVSS 9.8): Angreifer können ohne Passwort, ohne Plugin und ohne Konfigurationsfehler Schadcode ausführen und die komplette Seite übernehmen. Betroffen sind die WordPress-Versionen 6.9.0–7.0.1. Gepatcht wurde in 6.9.5 und 7.0.2 (für ältere Zweige 6.8.6). Wer nicht sofort aktualisiert hat, sollte von einer möglichen Kompromittierung ausgehen und die Seite prüfen lassen.
Was ist wp2shell – und warum ist es so gefährlich?
wp2shell ist keine Plugin-Lücke, sondern steckt direkt im WordPress-Kern – deshalb ist praktisch jede nicht aktualisierte Standard-Installation angreifbar, auch ohne Zusatz-Plugins. Technisch ist es eine Angriffskette aus zwei Schwachstellen: eine SQL-Injection in WP_Query (CVE-2026-60137) und eine „Route Confusion“ im REST-API-Batch-Endpunkt /wp-json/batch/v1 (CVE-2026-63030). Kombiniert erlauben sie einem nicht angemeldeten Angreifer die vollständige Ausführung von Code auf dem Server (Remote Code Execution).
Das deutsche BSI stuft die Kette mit CVSS 9.8 von 10 ein – der höchstmöglichen Kritikalität. Angreifer hinterlassen typischerweise eine „Webshell“, über die sie dauerhaft Zugriff behalten, selbst nachdem WordPress später aktualisiert wurde.
Betroffene und gepatchte Versionen
| Version | |
|---|---|
| Betroffen | WordPress 6.9.0 – 7.0.1 |
| Sicher (gepatcht) | 6.9.5, 7.0.2 – für ältere Zweige 6.8.6 |
| Kritikalität | CVSS 9.8 / 10 (BSI) |
| Status | Massenhafte Ausnutzung „in the wild“, PoC öffentlich |
Sicherheitsdienste melden seit Bekanntwerden Millionen blockierter Angriffsversuche. WordPress.org hat für Installationen mit aktivierten Auto-Updates erzwungene Aktualisierungen ausgerollt – verlassen sollte man sich darauf aber nicht, da Auto-Updates häufig deaktiviert sind.
Reicht es, einfach ein Backup einzuspielen?
Kurz gesagt: meistens nicht. Ein Backup hilft nur dann, wenn es garantiert von einem Zeitpunkt vor der Infektion stammt. Da die Lücke seit dem 17. Juli 2026 aktiv ausgenutzt wird, sind viele Backups bereits „verseucht“ – man spielt die Hintertür dann einfach wieder mit ein. Hinzu kommt: Solange die veraltete WordPress-Version zurückkommt, ist die Lücke sofort wieder offen und die Seite wird oft binnen Stunden erneut übernommen.
Sauber wird eine kompromittierte Seite nur durch: (1) sofortiges Update auf eine gepatchte Version, (2) Suche nach hinterlassenen Webshells/Schadcode und fremden Admin-Konten, (3) Zurücksetzen aller Passwörter und Security-Keys und (4) Prüfung, ob Daten abgeflossen sind. Erst danach ist ein bereinigtes Backup sinnvoll.
Wir prüfen deine WordPress-Seite – für 80 € netto
Unsicher, ob deine Seite betroffen ist oder bereits kompromittiert wurde? Wir übernehmen die Prüfung: Wir kontrollieren die WordPress-Version, suchen gezielt nach Spuren von wp2shell (Webshells, verdächtige Dateien, fremde Benutzer, auffällige Logins) und geben dir eine klare Einschätzung samt Handlungsempfehlung. Auf Wunsch übernehmen wir anschließend auch das Update und die Bereinigung.
Prüfung deiner WordPress-Instanz auf wp2shell für 80 € netto – inkl. klarer Einschätzung und Handlungsempfehlung.
Häufige Fragen
Bin ich betroffen, obwohl ich keine Plugins nutze?
Ja. wp2shell steckt im WordPress-Kern selbst. Auch eine „nackte“ Standard-Installation ohne Zusatz-Plugins ist angreifbar, wenn die Version zwischen 6.9.0 und 7.0.1 liegt.
Wie finde ich meine WordPress-Version?
Im WordPress-Adminbereich unten rechts im Dashboard, oder in der Datei wp-includes/version.php. Ist die Version älter als 6.9.5 bzw. 7.0.2, solltest du sofort aktualisieren.
Ich habe erst spät aktualisiert – reicht das?
Das Update schließt die Lücke, entfernt aber keinen bereits eingeschleusten Schadcode. Wer nicht am Patch-Tag aktualisiert hat, sollte die Seite zusätzlich auf eine Kompromittierung prüfen lassen.
Hilft mein Backup?
Nur, wenn es sicher von vor der Infektion stammt. Andernfalls spielt man die Hintertür wieder mit ein. Ohne Update kommt zudem die Lücke zurück.