Wenn du eine WordPress-Seite betreibst, ist jetzt der Moment zum Nachschauen. Die vor wenigen Tagen gepatchte Kernlücke wp2shell wird laut mehreren Sicherheitsfirmen inzwischen aktiv und in großem Stil ausgenutzt. Schätzungen sprechen von zig Millionen weiterhin verwundbaren Seiten.
DARUM IST DIE LÜCKE SO BRANDGEFÄHRLICH
„wp2shell“ ist eigentlich ein Doppelpack aus zwei Fehlern, die zusammen zünden: CVE-2026-60137 ist eine SQL-Injection im WordPress-Kern, CVE-2026-63030 eine Verwechslung von Routen in der REST-API (/wp-json/batch/v1). Verkettet führen sie eine anonyme Anfrage — also ohne Login, ohne Konto — bis zur Code-Ausführung auf dem Server.
Wir hatten die Lücke bereits gemeldet, als der Patch erschien (unser Bericht vom 18. Juli). Damals galt: sofort updaten. Jetzt ist der Ernstfall eingetreten — die Angriffe rollen.
SCHOCK: Die Angreifer sind schon da
Gleich mehrere Sicherheitsunternehmen — darunter Patchstack, Hexastrike und watchTowr — warnen, dass Angreifer die Lücke im großen Stil ausnutzen und verwundbare Seiten übernehmen. WordPress hat die Lage so ernst eingeschätzt, dass es erzwungene Updates über das Auto-Update-System ausgerollt hat, wo immer das möglich ist.
BETROFFENE VERSIONEN — prüf deinen Stand
Verwundbar sind die WordPress-Versionen 6.9.0 bis 6.9.4 und 7.0.0 bis 7.0.1. Die rettenden Updates heißen 6.9.5 und 7.0.2, ausgeliefert seit Freitag. Viele Seiten wurden über das Zwangs-Update bereits automatisch versorgt — verlassen solltest du dich darauf aber nicht.
SO SICHERST DU DEINE SEITE — Schritt für Schritt
- Version prüfen. Im WordPress-Dashboard unter Werkzeuge → Website-Zustand oder unten rechts im Adminbereich siehst du deine Version. Alles unter 6.9.5 / 7.0.2 ist ein Risiko.
- Sofort updaten. Falls das Auto-Update nicht gegriffen hat, das Kern-Update manuell anstoßen. Vorher ein Backup ziehen.
- Nach Einbruchsspuren suchen. Achte auf neue Admin-Nutzer, unbekannte Dateien und verdächtige Einträge in den
mu-plugins. Als Notbremse lässt sich die Batch-Route per WAF blockieren.
FAZIT: Zwei Minuten, die deine Seite retten
Die gute Nachricht: Das Update ist einfach und schnell. Die schlechte: Wer es aufschiebt, spielt russisches Roulette mit einer Lücke, die gerade jetzt weltweit ausgenutzt wird. Prüfe deinen WordPress-Stand — am besten sofort, solange du diesen Beitrag noch offen hast.