WordPress Sicherheitslücken: So schützen Sie Ihre Website

27. Juli 2026

WordPress-Kern unter Beschuss: Was hinter wp2shell steckt

Wer eine WordPress-Website betreibt, hat in den letzten Wochen vielleicht eine automatische Update-Meldung gesehen und weitergemacht. Diesmal wäre das ein Fehler. Am 17. Juli 2026 wurde eine kritische Sicherheitslücke im WordPress-Core selbst gepatcht, die unter dem Namen „wp2shell” bekannt wurde. Sie erlaubt es Angreifern, ohne jede Anmeldung beliebigen Code auf dem Server auszuführen. Kein Plugin nötig. Kein Passwort. Eine blanke Standardinstallation reicht.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu einen Sicherheitshinweis mit der Kritikalitätsstufe Orange herausgegeben, was bedeutet: Maßnahmen unverzüglich ergreifen, massive Beeinträchtigungen des Betriebs möglich. Wer jetzt noch wartet, riskiert seine Website, seine Kundendaten und seinen Ruf.

Was genau ist passiert?

Die Schwachstellenkette wp2shell setzt sich aus zwei einzelnen Lücken zusammen, die in Kombination besonders gefährlich sind:

CVE-2026-60137 ist eine SQL-Injection-Lücke (das heißt: ein Angreifer kann Datenbankbefehle einschleusen) im author__not_in-Parameter von WP_Query. Laut CISA-ADP wird sie mit einem CVSS-Score von 9.1 als kritisch eingestuft.
CVE-2026-63030 steckt in der REST API von WordPress und erzeugt über eine sogenannte Route Confusion eine Möglichkeit, die SQL-Injection ohne Anmeldung auszunutzen. WPScan bewertet diese Lücke mit einem CVSS-Score von 9.8.

In Kombination ergibt sich laut BSI-Bewertung ein CVSS-Score von ebenfalls 9.8, was der höchsten Kritikalitätsstufe entspricht. Entdeckt wurde die Lücke von Adam Kues bei Searchlight Cyber, der sie verantwortungsvoll über das HackerOne-Programm von WordPress meldete. Besonders bemerkenswert: Die Lücke wurde mit Hilfe von KI-Unterstützung gefunden, was zeigt, dass Angreifer und Sicherheitsforscher gleichermaßen auf diese Technologien setzen.

Welche Versionen sind betroffen? WordPress 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1. Ältere Versionen vor 6.8 sind von dieser spezifischen Lücke nicht betroffen. Die bereinigten Versionen sind 6.8.6, 6.9.5 und 7.0.2.

Von der Lücke bis zum Angriff: nur Stunden

Was diesen Fall besonders brisant macht, ist die Geschwindigkeit der Ausnutzung. Bereits wenige Stunden nach der Veröffentlichung des Patches am 17. Juli 2026 kursierten öffentliche Proof-of-Concept-Exploits auf GitHub. Am 21. Juli 2026 nahm die US-amerikanische Cybersecurity-Behörde CISA beide CVEs in den Known Exploited Vulnerabilities Catalog auf, was aktive Ausnutzung in freier Wildbahn offiziell bestätigt.

Das passt zu einem übergeordneten Trend, den Sicherheitsforscher schon länger beobachten. Laut dem WordPress Security Statistics Report 2025/2026 beträgt die mediane Zeit zwischen der Veröffentlichung einer Schwachstelle und dem Beginn massenhafter Angriffe nur fünf Stunden. Wer seine Website einmal im Monat pflegt, ist damit statistisch gesehen stets nach der ersten Angriffswelle dran.

Für ein kleines Unternehmen, das WordPress für seinen Onlineshop, seine Unternehmenswebsite oder sein Kundenportal nutzt, bedeutet das: Das klassische Wartungsfenster reicht nicht mehr. Ein Steuerberater, dessen Website Mandanten plötzlich auf fremde Seiten weiterleitet, weil ein veraltetes Plugin seit Wochen ausgenutzt wird, ist kein Einzelfall, das ist ein häufiges Muster im KMU-Alltag.

Sofortmaßnahmen: Was Sie jetzt prüfen sollten

WordPress hat bei wp2shell erzwungene automatische Updates aktiviert. Das heißt aber nicht, dass jede Installation tatsächlich aktualisiert wurde. Automatische Updates können aus verschiedenen Gründen fehlschlagen, etwa wegen restriktiver Dateiberechtigungen auf dem Server. Die erste und wichtigste Maßnahme ist daher: manuell prüfen, welche WordPress-Version aktiv läuft.

Das BSI empfiehlt darüber hinaus, Ihre Installation auf eine mögliche Kompromittierung zu prüfen, falls das Update nicht am Tag der Veröffentlichung (17. Juli 2026) automatisch eingespielt wurde. Konkrete Hinweise auf einen Angriff sind laut BSI unter anderem:

Ungewöhnlich viele POST-Anfragen an /wp-json/batch/v1
Login-Versuche mit Nutzernamen beginnend mit wp2_* oder w2s_*
Admin-Konten mit E-Mail-Adressen der Domain @wp2shell.invalid
Neu angelegte Administrator-Konten, die Sie nicht selbst erstellt haben
Ungewöhnliche ausgehende Verbindungen vom Webserver

Als temporärer Workaround empfiehlt das BSI zusätzlich, Aufrufe zu /wp-json/batch/v1 über eine Web Application Firewall (WAF) zu blockieren. Eine WAF ist eine vorgelagerte Schutzschicht, die verdächtigen Traffic filtert, bevor er Ihre Website überhaupt erreicht. Anbieter wie Wordfence oder Sucuri bieten solche Lösungen speziell für WordPress an. Sie können außerdem auf der Seite wp2shell.com von Searchlight Cyber prüfen, ob Ihre Website verwundbar ist.

Das eigentliche Problem: WordPress-Sicherheit ist mehr als Core-Updates

wp2shell ist in einem wichtigen Punkt ungewöhnlich. Die meisten Angriffe auf WordPress-Seiten nutzen keine Lücken im Core, dem zentralen Kern des Systems. Laut dem WordPress Security Report 2026 stecken 91 Prozent aller Schwachstellen in Plugins, also in den Erweiterungen, die fast jede WordPress-Website mit sich trägt. Im Jahr 2025 wurden allein 11.334 neue Schwachstellen im WordPress-Ökosystem entdeckt.

Das Problem für KMU: Bei 46 Prozent dieser Plugin-Lücken gibt es zum Zeitpunkt der Meldung noch keinen Patch. Wer also ein Plugin installiert hat, das nicht mehr aktiv gepflegt wird, läuft dauerhaft verwundbar, egal wie gut er den Core aktuell hält. Noch konkreter: Laut aktuellen Analysen läuft auf mehr als der Hälfte aller geprüften WordPress-Installationen mindestens ein Plugin mit einer bekannten, ungepatchten Lücke.

Auch aktuelle Ereignisse bestätigen das: Am 26. Juli 2026 wurden neue Lücken in weit verbreiteten Plugins wie Yoast SEO (bis Version 28.0) und WPForms Pro bekannt, die Cross-Site-Scripting bzw. unsichere Datei-Uploads ermöglichen.

Was das für Ihre Unternehmenswebsite bedeutet

WordPress ist kein unsicheres System, wenn es konsequent gewartet wird. Das Problem liegt meistens in der Praxis: Plugins werden installiert und vergessen, Updates werden aufgeschoben, weil niemand Zeit hat, und eine WAF gilt als unnötige Ausgabe. Dabei zeigen aktuelle Zahlen, dass die durchschnittlichen Wiederherstellungskosten nach einem Hack für ein kleines Unternehmen bei rund 14.500 US-Dollar liegen. Proaktiver Schutz kostet einen Bruchteil davon.

Wer eine WordPress-Website für sein Unternehmen betreibt, sollte folgende Punkte als Mindeststandard verstehen:

WordPress-Core, alle Plugins und Themes immer auf dem aktuellen Stand halten
Automatische Updates aktivieren und regelmäßig prüfen, ob sie auch tatsächlich greifen
Eine Web Application Firewall einsetzen
Zwei-Faktor-Authentifizierung für alle Administrator-Konten aktivieren
Nicht mehr genutzte Plugins vollständig deinstallieren, nicht nur deaktivieren
Regelmäßige Backups anlegen, die im Kompromittierungsfall auch tatsächlich eingespielt werden können

Bei ConRat WebSolutions begleiten wir KMU nicht nur beim Aufbau von WordPress-Websites, sondern auch bei der laufenden Absicherung. Wenn Sie nicht sicher sind, ob Ihre Installation aktuell und geschützt ist, sprechen Sie uns an. Ein kurzer Check kann im Ernstfall viel Schaden verhindern.

Quellen

Themen

BSI Cybersicherheit Patch Sicherheitslücke Website-Sicherheit WordPress WordPress-Core wp2shell

Content-Marketing · 27. Juli 2026WordPress Sicherheitslücken: So schützen Sie Ihre Website