wp2shell: Kritische RCE im WordPress-Core

Es ist der Ernstfall, vor dem jeder Website-Betreiber Angst hat: Eine Sicherheitsfirma hat eine Lücke direkt im WordPress-Core gefunden — kein Plugin, kein Theme, keine Sonder-Konfiguration nötig. Eine einzige anonyme HTTP-Anfrage reicht, und Angreifer führen eigenen Code auf deinem Server aus. Der Angriff trägt den Namen wp2shell, und WordPress hat gestern die Notfall-Versionen 6.9.5 und 7.0.2 veröffentlicht.

GEFAHR! Zwei Lücken werden zur Kettenreaktion

wp2shell ist genau genommen ein Doppelschlag aus zwei Schwachstellen. Nummer eins: CVE-2026-60137, eine SQL-Injection im Parameter author__not_in der zentralen Abfrage-Klasse WP_Query. Nummer zwei: CVE-2026-63030, ein Routing-Fehler im REST-API-Endpoint /wp-json/batch/v1.

Einzeln wären beide unangenehm. Zusammen werden sie brandgefährlich: Wird die SQL-Injection durch den Batch-Endpoint geschleust, eskaliert sie zur Remote Code Execution — der Angreifer übernimmt den Server. Entdeckt hat die Kette das Forscherteam von Searchlight Cyber.

Wer ist betroffen?

Der verwundbare Code-Pfad existiert erst seit WordPress 6.9 (erschienen im Dezember 2025). Konkret betroffen sind die Versionen 6.9.0 bis 6.9.4 und 7.0.0 bis 7.0.1. Wer noch auf einer 6.8er-Version oder älter unterwegs ist, ist von dieser Kette ausnahmsweise verschont — sollte aber aus vielen anderen Gründen trotzdem aktualisieren.

Das Beunruhigende: Der Angriff funktioniert gegen eine Standard-Installation ohne ein einziges Plugin. Kein Login, keine Nutzer-Interaktion, keine Sonderkonfiguration. Bei geschätzt mehreren hundert Millionen WordPress-Seiten weltweit ist das eine gewaltige Angriffsfläche — Sicherheitsfirmen wie Rapid7 und Aikido stufen die Lücke entsprechend als kritisch ein.

So rettest du deine Seite in 5 MINUTEN

Schritt 1: Prüfe im Dashboard unter Dashboard → Aktualisierungen deine Version. Schritt 2: Update auf 7.0.2 — oder auf 6.9.5, wenn du auf dem 6.9er-Zweig bleiben willst. Beide Versionen schließen die Kette vollständig. Schritt 3: Hast du Auto-Updates für Minor-Releases aktiv (Standard!), hat WordPress das Update vermutlich schon eingespielt — kontrollieren schadet trotzdem.

Danach lohnt ein kurzer Blick in die Nutzerliste und auf zuletzt geänderte Dateien: Bei einer Lücke, die ohne Login funktioniert, willst du sicher sein, dass vor dem Patch niemand durchgeschlüpft ist. Wie du eine kompromittierte Seite erkennst, haben wir erst kürzlich beim ShapedPlugin-Vorfall beschrieben.

EXTRA-TIPP: WAF-Regel für den Übergang

Kannst du nicht sofort updaten (Stichwort Staging-Umgebung oder Agentur-Freigabe), blocke übergangsweise an deiner Firewall oder im Webserver beide Pfade: /wp-json/batch/v1 und ?rest_route=/batch/v1. Das kappt den Eskalationspfad, ersetzt aber das Update nicht.

FAZIT: Kein Drama — wenn du JETZT handelst

Core-Lücken dieser Größenordnung sind selten, und das WordPress-Team hat schnell reagiert. Entscheidend ist jetzt Tempo: Sobald Exploit-Details öffentlich durchsickern, werden automatisierte Scans nicht lange auf sich warten lassen. Fünf Minuten Update-Arbeit ersparen dir im Zweifel Tage der Aufräumarbeit.

Häufige Fragen

Welche WordPress-Versionen sind von wp2shell betroffen?

Betroffen sind WordPress 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1. Der verwundbare Code-Pfad kam erst mit Version 6.9 im Dezember 2025 in den Core. Ältere Versionen sind von dieser konkreten Kette nicht betroffen. Die fehlerbereinigten Versionen sind 6.9.5 und 7.0.2 — eine davon solltest du umgehend einspielen.

Wie merke ich, ob meine Seite schon angegriffen wurde?

Prüfe die Nutzerliste auf unbekannte Administratoren, sieh dir zuletzt geänderte Dateien im WordPress-Verzeichnis an und kontrolliere die Ordner wp-content/uploads und mu-plugins auf fremde PHP-Dateien. Auch ein Blick in die Server-Logs auf Anfragen an /wp-json/batch/v1 von fremden IPs gibt Hinweise. Im Zweifel hilft ein Scanner wie WPScan oder die Prüfung durch deinen Hoster.

Reicht das automatische Update oder muss ich selbst aktiv werden?

WordPress spielt Minor-Updates wie 6.9.5 und 7.0.2 standardmäßig automatisch ein. Verlass dich aber nicht blind darauf: Manche Hoster oder Agenturen deaktivieren Auto-Updates. Öffne das Dashboard und prüfe unter Aktualisierungen, welche Version tatsächlich läuft — erst dann bist du auf der sicheren Seite.

Was genau bedeutet Pre-Auth RCE?

Pre-Auth bedeutet: Der Angreifer braucht keinerlei Zugangsdaten, nicht einmal ein Abonnenten-Konto. RCE steht für Remote Code Execution — die Fähigkeit, aus der Ferne eigenen Programmcode auf deinem Server auszuführen. Die Kombination ist die gefährlichste Klasse von Sicherheitslücken, weil jeder anonyme Besucher im Internet zum Angreifer werden kann.

Quellen: Searchlight Cyber · The Hacker News · Rapid7

WEBSEITEN-NOTFALL! Eine einzige anonyme Anfrage kapert deine WordPress-Seite — jetzt SOFORT updaten!