Codeeinschleusung ohne Anmeldung: Die kritische WordPress-Lücke „wp2shell“ – und warum Ihre Firmenwebsite jetzt ein Update braucht

WordPress ist das mit Abstand meistgenutzte System für Websites weltweit – rund 500 Millionen Installationen sind online erreichbar, darunter unzählige Firmenwebsites kleiner und mittlerer Unternehmen. Genau dieses System hat jetzt ein ernstes Problem: Unter dem Namen „wp2shell“ ist eine kritische Schwachstellen-Kombination im WordPress-Kern veröffentlicht worden, über die Angreifer ohne jede Anmeldung Schadcode in verwundbare Websites einschleusen können.

Das ist die gefährlichste Kategorie von Sicherheitslücke, die eine Web-Anwendung haben kann: kein Passwort nötig, kein Benutzerkonto, kein Klick eines Mitarbeiters – es genügt, dass die Website erreichbar ist.

Was steckt hinter „wp2shell“?

Technisch handelt es sich um eine Verkettung von zwei Schwachstellen, die einzeln schon unangenehm wären – zusammen aber zur kritischen Bedrohung werden:

• CVE-2026-60137 (CVSS 9,1 von 10 – kritisch): Eine SQL-Injection im Abfrage-Parameter author__not_in. Darüber lassen sich manipulierte Datenbankabfragen in WordPress einschleusen.
• CVE-2026-63030 (CVSS 7,5 von 10 – hoch): Eine Schwachstelle in der REST-Schnittstelle von WordPress, konkret im Batch-Endpunkt /wp-json/batch/v1, über den sich Anfragen bündeln lassen.

Erst die Kombination macht den Angriff so schlagkräftig: Über die API-Schwachstelle erreichen Angreifer die verwundbare Abfrage von außen – und über die SQL-Injection bringen sie eigenen Code auf der Website zur Ausführung. Der Name „wp2shell“ beschreibt das Ergebnis treffend: von WordPress zur Shell, also zur Kontrolle über den Webserver.

Wer ist betroffen – und wer nicht?

Betroffen sind WordPress-Installationen ab Version 6.8. Ältere Versionen enthalten den verwundbaren Code laut Bericht nicht – was allerdings kein Grund zur Entwarnung ist: Wer heute noch eine WordPress-Version vor 6.8 betreibt, hat längst andere ungepatchte Lücken.

Das WordPress-Projekt hat bereits abgesicherte Versionen veröffentlicht: 6.8.6, 6.9.5 und 7.0.2 (sowie 7.1 Beta 2). Eine aktive Ausnutzung ist bislang nicht bestätigt – Sicherheitsforscher rechnen aber damit, dass Angriffsversuche in Kürze beginnen. Die Erfahrung zeigt: Bei öffentlich dokumentierten Lücken mit dieser Reichweite beginnen automatisierte Massen-Scans oft innerhalb von Stunden. Für Websites, die nicht sofort aktualisiert werden können, stellen die Entdecker der Lücke übergangsweise ein Notfall-Plugin bereit (wp2shell.com).

„Ist doch nur die Website" – warum dieser Gedanke gefährlich ist

In vielen Unternehmen fristet die Firmenwebsite ein Schattendasein: vor Jahren von einer Agentur gebaut, seitdem läuft sie – irgendwie, irgendwo, von niemandem so richtig betreut. Genau das macht sie zum idealen Ziel. Denn eine übernommene Website ist weit mehr als ein Schönheitsfehler:

• Malware-Schleuder unter Ihrem Namen: Angreifer nutzen gekaperte Firmenwebsites, um Schadsoftware an Besucher auszuliefern oder Phishing-Seiten unter Ihrer Domain zu hosten – mit Ihrer Reputation als Tarnung.
• Datenabfluss: Kontaktformulare, Bewerbungen, Newsletter-Anmeldungen – was über die Website läuft, kann mitgelesen werden. Das ist schnell ein meldepflichtiger Datenschutzvorfall.
• Sichtbarer Vertrauensschaden: Verunstaltete Seiten, Spam-Inhalte oder eine Warnmeldung im Browser („Diese Website ist nicht sicher") sehen Kunden sofort – und Suchmaschinen strafen kompromittierte Seiten ab.
• Sprungbrett ins Umfeld: Je nach Hosting-Umgebung dient der übernommene Webserver als Ausgangspunkt für weitere Angriffe – etwa auf E-Mail-Konten oder andere Dienste beim selben Anbieter.

Was Sie jetzt konkret tun sollten

• WordPress-Version prüfen: Läuft Ihre Website auf Version 6.8 oder neuer? Wenn Sie es nicht wissen: jetzt nachsehen – oder bei Ihrer Agentur bzw. Ihrem Hoster nachfragen.
• Sofort aktualisieren: Das Update auf 6.8.6, 6.9.5 oder 7.0.2 schließt die Lücke. Es gibt keinen Grund zu warten – die Angriffswelle ist absehbar.
• Übergangsschutz nutzen, wo das Update warten muss: Wenn ein sofortiges Update nicht möglich ist, ist das Notfall-Plugin der Entdecker die zweitbeste Lösung – aber nur als Übergang, nicht als Dauerzustand.
• Zuständigkeit klären: Wer hält Ihre Website aktuell – Agentur, Hoster oder Ihre IT? In vielen Unternehmen lautet die ehrliche Antwort: niemand. Genau diese Lücke gehört geschlossen, verbindlich und schriftlich.
• Plugins und Themes mitprüfen: Der WordPress-Kern ist nur die halbe Miete – veraltete Erweiterungen sind statistisch das noch größere Einfallstor.
• Website ins Patch-Management aufnehmen: Server werden gepatcht, Clients werden gepatcht – die Website muss denselben Stellenwert bekommen. Wie systematisches Patchen aussieht, zeigt unser Beitrag Patch-Management: Der unterschätzte Schutz vor Cyberangriffen.
• Backup der Website sicherstellen: Falls doch etwas passiert, entscheidet ein sauberes, getestetes Backup über Stunden oder Wochen Ausfall. Die Grundlagen dazu haben wir in der 3-2-1-Backup-Regel zusammengefasst.

Unser Fazit

„wp2shell“ ist ein Paradebeispiel für eine unbequeme Wahrheit: Ihre Website ist IT-Infrastruktur – und muss auch so behandelt werden. Eine kritische Lücke, ein riesiger Bestand an Installationen und ein absehbarer Wettlauf zwischen Patch und Angriff: Wer jetzt schnell aktualisiert, ist aus dem Schneider. Wer die Website weiter als „läuft schon irgendwie" behandelt, spielt auf Zeit – und die arbeitet in diesem Fall für die Angreifer.

Update vom 23.07.2026: Inzwischen gibt es einen ersten prominenten Verdachtsfall: Der Cyberangriff auf die Website von Nextcloud steht mutmaßlich mit genau dieser Lücke in Verbindung. Unsere Einordnung des Vorfalls lesen Sie im Beitrag Cyberangriff auf Nextcloud.

Quelle: heise online – „wp2shell: Kritische WordPress-Lücke erlaubt Codeeinschleusung über API" (Dr. Christopher Kunz, Juli 2026), heise.de. Der Artikel wurde inhaltlich eigenständig aufbereitet und für Unternehmen in Deutschland redaktionell neu verfasst.