Seit dem 17. Juli 2026 sorgt eine kritische Schwachstelle im WordPress-Kern für Unruhe in der Betreiberlandschaft. Unter dem Namen „wp2shell“ bekannt geworden, erlaubt sie es nicht authentifizierten Angreifern, aus der Ferne Code auf einer Standardinstallation auszuführen, ganz ohne Plugin, ganz ohne Login. Die Schwachstelle wird bereits aktiv ausgenutzt, betroffene CVEs stehen inzwischen auf der KEV-Liste der CISA. Wir erklären, was hinter wp2shell steckt, wen es betrifft und was jetzt zu tun ist.
Die Sicherheitsforscher von Searchlight Cyber (Assetnote-Team) haben eine Kette aus zwei Schwachstellen im WordPress-Kern entdeckt, die zusammen eine vollständige Übernahme einer Website ermöglichen. Der Einstiegspunkt liegt im Batch-Endpunkt der REST-API (/wp-json/batch/v1). Dort werden eingehende Anfragen in zwei getrennten Schleifen validiert und anschließend ausgeführt, eine Logikschwäche, die sich für eine Routenverwechslung ausnutzen lässt.
Über diesen Weg lässt sich zunächst eine SQL-Injection auslösen (CVE-2026-60137), mit der beispielsweise der Passwort-Hash eines Administrator-Kontos ausgelesen werden kann. Anschließend führt die eigentliche Logikschwäche im Batch-Prozessor (CVE-2026-63030) zur Codeausführung. In Kombination ergibt sich daraus eine vollständige, nicht authentifizierte Remote-Code-Execution, kurz: die komplette Kontrolle über den Server.
Besonders kritisch: Der Angriff funktioniert auf einer Standardinstallation ohne zusätzliche Plugins und ohne jede Vorbedingung. Ein erreichbarer WordPress-Server in einer verwundbaren Version genügt.
Die vollständige RCE-Kette betrifft WordPress in den Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Der 6.8er-Zweig ist nur von der SQL-Injection-Komponente (CVE-2026-60137) betroffen, nicht von der vollen RCE-Kette. Das WordPress-Projekt hat die Lücken in den Versionen 6.9.5, 7.0.2 und 6.8.6 geschlossen, ein Fix ist zudem in 7.1 Beta 2 enthalten.
Aufgrund der Schwere des Problems hat das WordPress.org-Team einen ungewöhnlichen Schritt unternommen und für betroffene Installationen weltweit erzwungene automatische Updates ausgelöst. Das bedeutet aber nicht, dass jede Seite automatisch geschützt ist, Administratoren sollten die installierte Version selbst prüfen und sich nicht allein auf den Auto-Update-Mechanismus verlassen.
7.0.2, 6.9.5, 6.8.6 oder neuer
6.8.x vor 6.8.6 (nur SQL-Injection)
6.9.0 bis 6.9.4, 7.0.0 bis 7.0.1
Wenige Tage nach der Veröffentlichung hat Searchlight Cyber die vollständigen technischen Details der Angriffskette offengelegt, seitdem kursieren mehrere öffentliche Proof-of-Concept-Exploits. Sicherheitsfirmen wie Wiz, Patchstack und Hexastrike berichten übereinstimmend von aktiver Ausnutzung in freier Wildbahn. Beide CVEs wurden am 21. Juli 2026 in den KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgenommen, ein klares Signal für laufende, bestätigte Angriffe.
Beobachtete Angriffe reichen von automatisiertem Massen-Scanning verwundbarer Installationen über das Auslesen und Knacken von Admin-Passwort-Hashes bis hin zur Installation persistenter Webshells und bösartiger Plugins. Damit verschaffen sich Angreifer nicht nur einmaligen Zugriff, sondern eine dauerhafte Hintertür in die betroffene Infrastruktur.
Eine von Cloudflare beobachtete Randbedingung: Der verwundbare Codepfad von CVE-2026-63030 ist vor allem dann erreichbar, wenn kein persistenter Objekt-Cache im Einsatz ist. Das senkt zwar in manchen Setups das Risiko, ersetzt aber keinesfalls das Einspielen der Patches.
Kontrolliert für jede WordPress-Instanz die exakte Kernversion im Admin-Dashboard oder per WP-CLI, nicht nur stichprobenartig auf einer Seite.
Auffällig viele HTTP-207- oder 200-Multi-Status-Antworten auf Anfragen an den Batch-Endpunkt gelten als recht zuverlässiger Hinweis auf einen erfolgreichen Ausnutzungsversuch.
Zugriffe mit auffälligen Kennungen wie „wp2shell“ oder „rezwp2shell“ im User-Agent deuten auf den Einsatz zweckgebauter Angriffs-Frameworks hin.
Prüft, ob seit dem 17. Juli neue Administrator-Konten, unbekannte Plugins oder veränderte Dateien aufgetaucht sind, mögliche Spuren eines bereits erfolgten Kompromittierungsversuchs.
Ihr wisst nicht genau, wie viele WordPress-Instanzen in eurer Organisation überhaupt laufen, geschweige denn in welcher Version? Genau hier setzen wir an.
Wir prüfen eure WordPress-Instanzen gezielt auf wp2shell und weitere bekannte Schwachstellen und liefern euch eine priorisierte Liste zum Handeln.
Besteht der Verdacht einer bereits erfolgten Kompromittierung, unterstützen wir bei Analyse, Eindämmung und Bereinigung eurer Systeme.
Mit einem strukturierten Schwachstellen-Management-Prozess sorgen wir dafür, dass kritische Patches wie dieser künftig zuverlässig und schnell ausgerollt werden.
Ihr wollt wissen, ob eure WordPress-Seiten betroffen sind? Wir bieten einen kostenlosen Erstberatungstermin an. Jetzt Kontakt aufnehmen.
wp2shell ist eine der kritischsten WordPress-Schwachstellen der letzten Jahre: vorauthentifiziert, ohne Plugin, ohne Vorbedingung, mit bestätigter aktiver Ausnutzung. Wer WordPress betreibt, sollte umgehend die installierte Version prüfen und, falls nötig, manuell auf 7.0.2, 6.9.5 oder 6.8.6 aktualisieren, statt sich allein auf erzwungene Auto-Updates zu verlassen.
Zusätzlich lohnt sich ein Blick in die Logs: Auffällige Batch-Anfragen, unbekannte Admin-Konten oder neue Plugins können Hinweise auf einen bereits erfolgten Zugriff sein.
Mint Secure unterstützt euch dabei, eure WordPress-Landschaft zu prüfen, im Ernstfall zu reagieren und Vulnerability Management dauerhaft zu etablieren. Sprecht uns an.