Seit dem 17. Juli 2026 ist eine schwerwiegende Sicherheitslücke in WordPress öffentlich bekannt. Sie trägt den Namen «wp2shell» und wird inzwischen aktiv für Angriffe genutzt. Betroffen ist nicht ein einzelnes Plugin, sondern der Kern von WordPress selbst – also praktisch jede Standard-Installation. Weil WordPress schätzungsweise rund 500 Millionen Websites weltweit antreibt, betrifft das Problem einen riesigen Teil des Internets.
Die gute Nachricht vorweg: Es gibt bereits ein Update, das die Lücke schliesst. Wer eine WordPress-Website betreibt, sollte jetzt handeln – am besten heute.
Was steckt hinter «wp2shell»?
Vereinfacht gesagt: Angreifer können über wp2shell fremden Programmcode auf Ihrem Server ausführen – und zwar, ohne sich vorher anmelden zu müssen. Kein Benutzerkonto, kein Passwort, kein anfälliges Plugin nötig. Es reicht, dass Ihre WordPress-Seite öffentlich im Internet erreichbar ist.
Technisch handelt es sich um eine Kombination aus zwei Schwachstellen, die ineinandergreifen. Beide für sich wären weniger dramatisch – erst zusammen erlauben sie die Übernahme einer Website. Angreifer schicken dazu eine speziell präparierte Anfrage an die sogenannte REST-Schnittstelle, über die WordPress normalerweise im Hintergrund Daten austauscht. An einer Stelle wird dabei eine Sicherheitsprüfung übersprungen. Fachleute führen die Lücke unter der Kennung CVE-2026-63030.
Die genauen Details, wie sich die Lücke ausnutzen lässt, halten die beteiligten Sicherheitsforscher bewusst zurück, damit Website-Betreiber Zeit zum Aktualisieren haben. Trotzdem kursierte schon wenige Stunden nach der Veröffentlichung ein funktionierender Angriffscode im Netz.
Warum das so ernst ist
Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine Warnung herausgegeben und stuft die Lücke auf Stufe 3 von 4 (Orange) ein. Mehrere Sicherheitsunternehmen und das BSI bestätigen, dass die Schwachstelle bereits in freier Wildbahn ausgenutzt wird.
Besonders heikel ist das Tempo: Zwischen der Veröffentlichung der Lücke, dem ersten öffentlichen Angriffscode und den ersten realen Angriffen lagen nur Stunden. Das eigentliche Problem ist also nicht der fehlende Patch – den gibt es. Gefährlich ist das Zeitfenster dazwischen, in dem viele Seiten noch nicht aktualisiert sind. Genau in diesem Fenster schlagen Angreifer zu.
Bin ich betroffen?
Betroffen sind die WordPress-Versionen:
- 6.8.0 bis 6.8.5
- 6.9.0 bis 6.9.4
- 7.0.0 bis 7.0.1
- sowie die Beta-Version von 7.1
Sicher sind Sie mit einer dieser Versionen:
- 7.0.2 (aktueller Zweig)
- 6.9.5
- 6.8.6
Ihre aktuelle Version finden Sie im WordPress-Adminbereich unten rechts im Dashboard oder unter «Werkzeuge → Website-Zustand».
Was Sie jetzt konkret tun sollten
- Update prüfen und einspielen. WordPress hat wegen der Schwere des Problems automatische Zwangs-Updates aktiviert. Viele Seiten wurden dadurch bereits abgesichert. Verlassen Sie sich aber nicht blind darauf: Kontrollieren Sie selbst, ob Ihre Installation tatsächlich auf 7.0.2, 6.9.5 oder 6.8.6 läuft. In Einzelfällen hat das automatische Update nicht sauber funktioniert.
- Schnell-Check nutzen. Unter wp2shell.com steht ein kostenloser Online-Scanner bereit. Sie geben Ihre Adresse ein und erfahren auch ohne technisches Vorwissen, ob Ihre Seite noch verwundbar ist.
- Zusätzlichen Schutz über Cloudflare aktivieren. Wenn Ihr Datenverkehr über Cloudflare läuft, hat der Dienst passende Firewall-Regeln veröffentlicht – für kostenlose wie kostenpflichtige Tarife. Das ist eine zusätzliche Schutzschicht, ersetzt aber das Update nicht.
- Auf Spuren eines Angriffs prüfen. Falls Ihre Seite über längere Zeit nicht aktuell war, sollten Sie kontrollieren, ob WordPress-Dateien unerwartet verändert wurden oder verdächtige neue Benutzer, Dateien oder Beiträge auftauchen.
Kurz gesagt
wp2shell ist eine der ernsteren WordPress-Lücken der letzten Zeit: im Kern verankert, ohne Anmeldung ausnutzbar und bereits aktiv im Umlauf. Wer zeitnah auf eine der sicheren Versionen aktualisiert und den Erfolg der Aktualisierung überprüft, ist auf der sicheren Seite. Wer unsicher ist, ob die eigene Seite sauber aktualisiert wurde – oder ob sie bereits kompromittiert ist –, prüft das besser einmal zu viel als zu wenig.
