Die WordPress Sicherheitslücke wp2shell erlaubt es Angreifern, deine Webseite ohne Passwort und ohne Benutzerkonto komplett zu übernehmen. Betroffen sind die Versionen 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Sicher bist du ab 6.8.6, 6.9.5 oder 7.0.2. Das Notfall-Update kam am 17. Juli 2026. Wenn du seitdem nicht in dein WordPress geschaut hast, hol das in den nächsten Minuten nach. Ich zeige dir, wie du deine Version prüfst, was du bei einem Verdacht auf einen Einbruch tust und warum automatische Updates hier nicht bei jedem Betrieb greifen.
Letzte Aktualisierung: Juli 2026
Was die WordPress Sicherheitslücke wp2shell so gefährlich macht
Was ist wp2shell?
wp2shell ist der Spitzname für eine Angriffskette aus zwei Schwachstellen im WordPress-Kern, die zusammen zu Remote Code Execution führen. Ein Angreifer kann damit eigenen Programmcode auf deinem Server ausführen. Die beiden Lücken tragen die Kennungen CVE-2026-60137 und CVE-2026-63030.
Der Einstieg läuft über die REST-API von WordPress, genauer über den Sammel-Endpunkt /wp-json/batch/v1. Der Angreifer schickt dorthin mehrere Anfragen in einem Rutsch, verwirrt damit die Routen-Zuordnung und schleust im zweiten Schritt eine SQL-Injection ein. Am Ende steht die volle Kontrolle über die Datenbank und über die Dateien.
Drei Details machen diese WordPress Sicherheitslücke unangenehmer als die üblichen Plugin-Meldungen, die alle paar Wochen durch die Fachpresse laufen.
Kein Login nötig: Der Angriff funktioniert anonym, aus der Ferne, ohne gültiges Benutzerkonto.
Kein Plugin nötig: Auch eine blanke Standardinstallation ohne einen einzigen Zusatz ist verwundbar.
Automatisierbar: Angreifer scannen das Netz nach verwundbaren Versionen. Deine Firmengröße spielt dabei keine Rolle.
Die vollständige Angriffskette wp2shell erreicht auf der CVSS-Skala 9,8 von 10 möglichen Punkten. Das BSI hat die Warnung auf Alarmstufe Orange gesetzt, die dritte von vier Stufen. Quelle: BSI, 2026
Weltweit laufen rund 500 Millionen Webseiten auf WordPress. Die Sicherheitsforscher haben die technischen Details bewusst erst verzögert veröffentlicht, damit Betreiber Zeit zum Aktualisieren bekommen. Diese Schonfrist ist inzwischen vorbei.
Welche WordPress-Versionen von der Sicherheitslücke betroffen sind
Prüf zuerst deine Versionsnummer. Die Tabelle zeigt, wo du stehst.
WordPress-Version | Status | Was zu tun ist |
|---|---|---|
6.7 und älter | Nicht von wp2shell betroffen | Trotzdem aktualisieren, diese Versionen haben andere offene Lücken |
6.8.0 bis 6.8.5 | Verwundbar | Sofort auf 6.8.6 aktualisieren |
6.8.6 | Sicher | Nichts zu tun |
6.9.0 bis 6.9.4 | Verwundbar | Sofort auf 6.9.5 aktualisieren |
6.9.5 | Sicher | Nichts zu tun |
7.0.0 und 7.0.1 | Verwundbar | Sofort auf 7.0.2 aktualisieren |
7.0.2 | Sicher | Nichts zu tun |
7.1 Beta 1 | Verwundbar | Auf 7.1 Beta 2 wechseln oder auf 7.0.2 zurück |
Das Sicherheitsrelease WordPress 7.0.2 vom 17. Juli 2026 behebt eine kritisch und eine hoch eingestufte Schwachstelle. Für betroffene Installationen wurden erzwungene automatische Updates aktiviert. Quelle: WordPress.org, 2026
Die offizielle Meldung dazu steht im Release-Beitrag von WordPress.org. Wer es genauer wissen will, findet dort auch die Namen der Melder und die Verweise auf beide CVE-Einträge.
So prüfst du in drei Minuten, ob dein Betrieb betroffen ist
Du brauchst dafür keinen Techniker. Du brauchst nur deine Zugangsdaten zum WordPress-Adminbereich.
Einloggen: Ruf
deinedomain.de/wp-adminauf und melde dich an.Version ablesen: Auf der Startseite des Dashboards steht unten rechts im Kasten "Auf einen Blick" deine WordPress-Version. Alternativ findest du sie unter Dashboard, dann Aktualisierungen.
Mit der Tabelle abgleichen: Steht dort 6.8.6, 6.9.5 oder 7.0.2, bist du durch. Steht eine andere Nummer da, geht es weiter mit Schritt 4.
Backup ziehen: Vor jedem Update ein vollständiges Backup von Dateien und Datenbank. Die meisten Hoster bieten das im Kundenmenü mit einem Klick an.
Aktualisieren: Unter Dashboard, dann Aktualisierungen auf "Jetzt aktualisieren" klicken. Danach die Seite im Browser aufrufen und prüfen, ob alles normal aussieht.
Wenn du keinen Zugang zu deinem eigenen Adminbereich mehr hast, weil die Seite vor Jahren von jemand anderem gebaut wurde: Das ist der häufigste Fall, der mir bei Erstgesprächen begegnet. Ruf deinen Hoster an. Über dessen Kundenkonto kommst du fast immer an die Installation heran.
Warum automatische Updates nicht jeden Betrieb retten
WordPress hat für diese WordPress Sicherheitslücke erzwungene Auto-Updates aktiviert. Trotzdem sitzen viele Betriebe weiter auf einer verwundbaren Version. Das hat vier typische Gründe, und alle vier sehe ich regelmäßig bei Kundenseiten, die ich übernehme.
Der Automatismus wurde abgeschaltet: In der Datei
wp-config.phpsteht dann eine Zeile mitAUTOMATIC_UPDATER_DISABLED. Oft hat ein Dienstleister das vor Jahren gesetzt, weil ein Update mal eine Seite zerschossen hat.Der Server erreicht WordPress.org nicht: Manche Hosting-Pakete blockieren ausgehende Verbindungen. Dann sucht die Installation zwar nach Updates, bekommt aber keine Antwort.
Die PHP-Version ist zu alt: Läuft dein Server noch auf PHP 7.4, bricht die Aktualisierung auf neuere WordPress-Versionen ab. Das Update scheitert still, ohne dass dir jemand Bescheid gibt.
Dateirechte stimmen nicht: Wenn WordPress keine Schreibrechte auf das eigene Verzeichnis hat, kann es sich nicht selbst aktualisieren.
Deshalb reicht es nicht, sich auf den Automatismus zu verlassen. Schau einmal selbst nach. Zwei Minuten Aufwand gegen einen möglichen Totalausfall deiner Firmenseite ist ein gutes Geschäft.
Wenn du gerade nicht aktualisieren kannst
Manchmal geht ein Update nicht sofort, weil ein wichtiges Plugin noch nicht kompatibel ist. Dann kannst du den Angriffsweg vorübergehend zumauern. Lass deinen Hoster oder deinen Entwickler den Aufruf von /wp-json/batch/v1 für nicht angemeldete Besucher sperren, entweder über eine Firewall-Regel oder über ein kleines Plugin. Das ist eine Notlösung für ein paar Tage, kein Dauerzustand.
Was tun, wenn deine Webseite bereits gekapert wurde
Ein Update schließt die Tür. Es wirft niemanden hinaus, der schon drin ist. Wenn deine Seite länger als eine Woche auf einer verwundbaren Version lief und öffentlich erreichbar war, prüf diese Punkte.
Benutzerliste: Unter Benutzer alle Konten durchgehen. Ein Administrator, den du nicht kennst, ist das deutlichste Alarmzeichen.
Startseite im privaten Fenster öffnen: Viele Angreifer zeigen eingeschleuste Werbelinks nur Besuchern, die von Google kommen, nicht eingeloggten Admins.
Google-Suche nach deiner Domain: Tippe
site:deinedomain.debei Google ein. Tauchen dort Seiten auf, die du nie angelegt hast, hat jemand Spam-Inhalte untergeschoben.Geplante Aufgaben: Unter Werkzeuge, dann Website-Zustand, dann Info findest du die Cronjobs. Einträge mit kryptischen Namen sind verdächtig.
Alle Passwörter neu setzen: WordPress-Admins, FTP, Datenbank und das Hosting-Konto. In dieser Reihenfolge.
Findest du etwas davon, spiel ein Backup aus der Zeit vor dem Einbruch zurück und aktualisiere danach sofort. Ein bloßes Aufräumen der sichtbaren Schäden reicht bei Remote Code Execution nicht, weil der Angreifer sich meist eine zweite Hintertür anlegt.
Warum kleine Betriebe von der WordPress Sicherheitslücke besonders hart getroffen werden
Ein Konzern hat eine IT-Abteilung, die am 17. Juli um 20 Uhr das Update eingespielt hat. Ein Elektrobetrieb mit vier Mitarbeitern hat das nicht. Die Firmenseite läuft seit 2021, sie funktioniert, also schaut niemand hinein.
Genau das macht kleine Betriebe zum bevorzugten Ziel. Angreifer suchen nicht gezielt nach deinem Malerbetrieb. Sie scannen automatisiert Millionen Domains nach der verwundbaren Versionsnummer und nehmen mit, was sie kriegen. Die gekaperte Seite wird dann für Spam-Versand, für versteckte Werbelinks oder als Zwischenstation für weitere Angriffe genutzt.
Der Schaden ist selten spektakulär. Er ist schleichend. Google stuft die Seite als kompromittiert ein und blendet im Suchergebnis eine Warnung ein. Deine Kunden landen auf einer roten Zwischenseite des Browsers. Bis das behoben und von Google wieder freigegeben ist, vergehen Wochen. In dieser Zeit findet dich niemand mehr über die Suche, was jede Arbeit an der Sichtbarkeit bei Google und in KI-Suchen zunichtemacht.
Der zweite Punkt ist rechtlich. Wenn über deine Seite Kontaktformulardaten abgegriffen werden, ist das ein meldepflichtiger Vorfall nach Artikel 33 DSGVO. Du hast dann 72 Stunden Zeit, die Aufsichtsbehörde zu informieren. Das gilt auch für den Zwei-Mann-Betrieb.
So verhinderst du den nächsten Notfall
wp2shell ist nicht die letzte kritische Lücke in WordPress. Sie ist die aktuelle. Wer seine Seite geschäftlich nutzt, braucht eine Routine statt einzelner Feuerwehreinsätze.
Automatische Updates für Minor-Releases aktiv lassen. Sicherheitsupdates wie 7.0.1 auf 7.0.2 sind praktisch nie problematisch.
Backups täglich und außerhalb des Servers. Ein Backup, das auf demselben gehackten Server liegt, ist wertlos.
Plugins ausmisten. Jedes Plugin, das du nicht aktiv brauchst, ist zusätzliche Angriffsfläche. Deaktiviert reicht nicht, löschen.
PHP aktuell halten. Eine veraltete PHP-Version blockiert Updates und ist selbst ein Risiko.
Einen Zuständigen benennen. Wenn niemand im Betrieb dafür verantwortlich ist, macht es niemand.
Wenn du den letzten Punkt auslagern willst: Wir übernehmen genau das in unseren Wartungspaketen, inklusive Updates, Backups und Monitoring. Bei einem Vorfall wie wp2shell war die Sache für unsere Kunden am 17. Juli abends erledigt, bevor die ersten Meldungen in der Fachpresse standen.
Der zeitliche Ablauf, damit du deinen Stand einordnen kannst
Die Reihenfolge der Ereignisse hilft bei der Einschätzung, wie viel Zeit ein Angreifer bei dir hatte.
17. Juli 2026: WordPress veröffentlicht die Sicherheitsreleases 6.8.6, 6.9.5 und 7.0.2 und aktiviert erzwungene Auto-Updates.
Wenige Stunden später: Erste Sicherheitsdienstleister veröffentlichen Firewall-Regeln für den Batch-Endpunkt.
19. Juli 2026: Die technischen Details der Angriffskette werden öffentlich. Ab hier steigt die Zahl automatisierter Scans deutlich.
Wenn deine Seite noch heute auf einer alten Version läuft, war sie also mehrere Tage lang in einem Zeitfenster erreichbar, in dem funktionierende Angriffswerkzeuge kursierten. Das heißt nicht, dass etwas passiert ist. Es heißt, dass die Prüfung aus dem vorigen Abschnitt für dich Pflicht ist und nicht optional.
Ein typischer Fall aus der Praxis
Ein Sanitärbetrieb, dessen Seite 2022 von einem Bekannten gebaut wurde. Der Bekannte ist längst weg, die Zugangsdaten liegen in keinem Ordner mehr. Die Seite läuft, das Kontaktformular schickt Anfragen an eine alte Sammeladresse. Niemand hat je ein Update gemacht.
Der Weg zurück ist in so einem Fall immer derselbe. Zuerst über den Hoster wieder Zugriff auf das Kundenkonto bekommen, denn dort liegen Datenbank und Dateien. Dann ein Backup ziehen, bevor irgendetwas verändert wird. Danach das Kern-Update, anschließend die Plugins einzeln. Zum Schluss alle Passwörter neu vergeben und die Zugänge an einer Stelle dokumentieren, auf die im Betrieb mehr als eine Person Zugriff hat.
Der letzte Punkt wird gern übersprungen und ist der wichtigste. Eine Firmenseite, deren Zugangsdaten nur eine einzige Person kennt, ist im Notfall genauso blockiert wie eine ohne Zugangsdaten.
Häufige Fragen zur WordPress Sicherheitslücke wp2shell
Woher weiß ich, welche WordPress-Version ich habe?
Melde dich unter deinedomain.de/wp-admin an. Im Dashboard steht die Versionsnummer im Kasten "Auf einen Blick" unten rechts sowie unter Dashboard, dann Aktualisierungen.
Ist meine Seite betroffen, wenn ich keine Plugins installiert habe?
Ja. Die WordPress Sicherheitslücke wp2shell steckt im Kern von WordPress selbst. Auch eine Standardinstallation ohne jedes Zusatz-Plugin ist verwundbar, solange sie auf einer der betroffenen Versionen läuft.
Reicht ein Sicherheits-Plugin wie Wordfence als Schutz?
Ein Sicherheits-Plugin mit aktueller Firewall-Regel kann den Angriff blockieren, ersetzt aber das Update nicht. Die Lücke bleibt vorhanden, du verlässt dich nur auf einen Wächter davor.
Was kostet es, wenn ich das Update von einem Dienstleister machen lasse?
Ein reines Kern-Update mit Backup und Funktionsprüfung liegt meist bei einer knappen Stunde Aufwand. Teuer wird erst die Bereinigung nach einem erfolgreichen Einbruch, dort sind schnell mehrere Arbeitstage nötig.
Mein Hoster sagt, er kümmert sich. Muss ich trotzdem prüfen?
Ja. Managed-WordPress-Tarife spielen Kern-Updates meist automatisch ein, einfache Webhosting-Pakete nicht. Ein Blick ins Dashboard kostet zwei Minuten und schafft Gewissheit.
Fazit: WordPress Sicherheitslücke schließen, dann die Wartung klären
Die WordPress Sicherheitslücke wp2shell ist mit einem CVSS-Wert von 9,8 eine der schwersten, die WordPress in den letzten Jahren hatte. Der Aufwand für dich ist trotzdem überschaubar: Version prüfen, Backup ziehen, aktualisieren. Danach einmal die Benutzerliste durchgehen und die Seite im privaten Browserfenster ansehen.
Was danach kommt, ist die wichtigere Frage. Eine Firmenseite ohne feste Wartungsroutine ist eine Zeitbombe mit unbekannter Laufzeit. Wenn du nicht sicher bist, ob deine Seite sauber und aktuell ist, schau dir an, wie du mit einer Analyse deiner Webseite den Ist-Zustand prüfst.
Oder du machst es dir einfach: Buch ein kostenloses Erstgespräch. Wir schauen gemeinsam auf deine Installation, klären in 20 Minuten, ob du betroffen bist, und du weißt danach, woran du bist.