WordPress-Lücke WP2Shell aktiv ausgenutzt: Jetzt patchen

Stand: 27. Juli 2026

Kurzantwort: „WP2Shell" kombiniert zwei Schwachstellen im WordPress-Core (CVE-2026-63030 und CVE-2026-60137) zu einer Remote Code Execution ohne Anmeldung. Betroffen sind WordPress 6.9.0–6.9.4 sowie 7.0.0 und 7.0.1; gepatcht wird mit 6.9.5 bzw. 7.0.2. Die CISA bestätigt aktive Ausnutzung — Update allein reicht nicht, es gehört eine Kompromittierungsprüfung dazu.

Die Unternehmens-Website gilt in vielen KMU als „nur die Visitenkarte" — bis sie zum Einfallstor wird. Aktuell zeigen zwei Ereignisse derselben Woche, wie real dieses Risiko ist: Die US-Cybersicherheitsbehörde CISA hat WP2Shell in ihren Katalog aktiv ausgenutzter Lücken aufgenommen. Und in Deutschland warnt das BSI nach dem Angriff auf das kirchliche Betroffenen-Netzwerk BeNe — Einstiegspunkt war eine WordPress-Lücke — vor gezielten Phishing-Angriffen auf die Betroffenen des Datenlecks.

WP2Shell: Zwei Fehler, die zusammen zur Übernahme der Website führen

• CVE-2026-63030: ein Logikfehler im Batch-Prozessor der WordPress-REST-API. Validierung und Ausführung von Anfragen laufen in getrennten Schleifen — diese Desynchronisierung hebelt vorhandene Parameterprüfungen aus.
• CVE-2026-60137: eine SQL-Injection im Parameter author__not_in des Posts-Endpunkts, der ungefiltert in SQL-Abfragen übernommen wird.

In Kombination erlauben die beiden Fehler einem nicht angemeldeten Angreifer, ein Administrator-Konto anzulegen, ein bösartiges Plugin hochzuladen und damit beliebigen Code auf dem Server auszuführen (Remote Code Execution). Betroffen sind WordPress 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1; die Korrekturen stecken in den Versionen 6.9.5 und 7.0.2. Die Veröffentlichung erfolgte am 17. Juli 2026, bereits am 21. Juli bestätigte CISA die aktive Ausnutzung durch Aufnahme in den KEV-Katalog.

Wichtig für die Einordnung: Anders als bei den üblichen Plugin-Lücken handelt es sich hier um Fehler im Core selbst — betroffen ist also potenziell jede WordPress-Installation der genannten Versionen, unabhängig davon, wie sparsam Plugins eingesetzt werden.

Der Fall BeNe: Wenn aus einer Website-Lücke ein Datenleck mit Folgen wird

Beim Betroffenen-Netzwerk BeNe verschafften sich Angreifer über eine WordPress-Sicherheitslücke Zugang zur Infrastruktur und entwendeten dort gespeicherte, hochsensible Berichte — die Daten waren immerhin verschlüsselt, was das unmittelbare Missbrauchsrisiko senkt. Das BSI warnt dennoch ausdrücklich vor gezielten Phishing-Angriffen im Nachgang und empfiehlt Betroffenen, verdächtige E-Mails zu ignorieren und Passwörter vorsorglich zu ändern.

Der Fall illustriert zwei oft unterschätzte Mechanismen:

• Die Website ist selten „nur" die Website. Kontaktformulare, Terminbuchungen, Mitglieder- oder Mandantenbereiche, Newsletter-Listen — auf vielen vermeintlichen Visitenkarten-Sites liegen personenbezogene Daten. Bei Arztpraxen und Kanzleien können das besonders schützenswerte Daten sein, deren Verlust meldepflichtig ist und das Mandanten- bzw. Patientenvertrauen unmittelbar trifft.
• Nach dem Leck kommt das Phishing. Gestohlene Kontaktdaten werden für glaubwürdige Folgeangriffe genutzt: E-Mails, die sich auf reale Vorgänge beziehen, wirken authentisch und haben deutlich höhere Erfolgsquoten als Massen-Spam. Ein Datenleck ist daher kein abgeschlossenes Ereignis, sondern der Auftakt einer zweiten Angriffswelle — auf Kunden, Patienten oder Mandanten. Hilfreich zur Sensibilisierung: Phishing erkennen — Merkmale und Checkliste.

Sofortmaßnahmen: WordPress jetzt prüfen und absichern

1. Version prüfen und aktualisieren: Auf 6.9.5 bzw. 7.0.2 (oder neuer) updaten. Automatische Core-Updates aktivieren, falls deaktiviert.
2. Übergangsschutz, falls kein sofortiges Update möglich ist: Blockieren des Endpunkts /wp-json/batch/v1 per Web Application Firewall oder Abschalten des anonymen REST-API-Zugriffs.
3. Auf Kompromittierung prüfen: Unbekannte Administrator-Konten, kürzlich installierte Plugins, veränderte Dateien und ungewöhnliche Logins kontrollieren. Da die Lücke seit Mitte Juli aktiv ausgenutzt wird, ist ein reines Update ohne Prüfung riskant.
4. Zugänge härten: Individuelle, starke Passwörter, Zwei-Faktor-Authentifizierung für alle Admin-Konten, Entfernen ungenutzter Konten, Plugins und Themes.
5. Verantwortung klären: Wer betreut die Website — Agentur, Hoster, interne IT? Wer spielt Updates ein, und in welchem Turnus? In vielen KMU ist genau diese Zuständigkeit ungeklärt — und die Website dadurch faktisch unbetreut.

Falls bei der Prüfung Hinweise auf einen erfolgten Zugriff auftauchen, gilt: nicht überstürzt löschen oder neu installieren, sondern Beweise sichern und den Vorfall strukturiert aufarbeiten — auch wegen möglicher Meldepflichten nach DSGVO. Dabei unterstützt unsere Incident Response.

Website-Sicherheit strategisch denken: drei Empfehlungen

Die Website in den Sicherheitsperimeter aufnehmen

Webserver und CMS gehören in dieselbe Sicherheitsbetrachtung wie Mailserver und Fileserver: regelmäßige Updates, Protokollierung, Monitoring. Eine kontinuierliche Überwachung mit Managed Detection & Response erkennt verdächtige Anmeldungen, Dateiänderungen und Webshell-Aktivität, bevor daraus ein Datenleck wird.

Regelmäßig aus Angreifersicht prüfen lassen

Ob die eigene Website verwundbar ist — durch Core-Lücken, veraltete Plugins oder Konfigurationsfehler — zeigt am zuverlässigsten ein Web-Penetrationstest. Für kleinere Organisationen genügt oft schon ein kompakter Web-Security-Check, um die kritischsten Punkte zu identifizieren.

Prozesse statt Einzelaktionen

Update-Zyklen, Zuständigkeiten, Reaktionswege bei Vorfällen, Umgang mit personenbezogenen Daten auf der Website: Das sind organisatorische Fragen, die einmal sauber geregelt werden sollten — gerade für Praxen und Kanzleien mit besonderen Verschwiegenheitspflichten, und für NIS2-regulierte Unternehmen ohnehin. Ein externer Informationssicherheitsbeauftragter (ISB) etabliert diese Prozesse mit Augenmaß und passend zur Organisationsgröße.

Fazit

WP2Shell ist eine der gravierenderen WordPress-Lücken der letzten Jahre: Core statt Plugin, keine Anmeldung nötig, aktive Ausnutzung bestätigt. Gleichzeitig zeigt der Fall BeNe, dass die Folgen einer kompromittierten Website weit über die Website selbst hinausreichen — bis hin zu gezieltem Phishing gegen die eigenen Kontakte. Die gute Nachricht: Update, Härtung und eine klar geregelte Betreuung senken das Risiko drastisch — der Aufwand ist überschaubar, wenn er strukturiert angegangen wird.

Sie sind unsicher, wie es um die Sicherheit Ihrer Website oder Ihrer IT insgesamt steht? Wir verschaffen Ihnen gern in einem kurzen, unverbindlichen Gespräch einen ehrlichen Überblick: Gespräch vereinbaren.