wp2shell: Kritische Lücke im WordPress-Kern, angegriffen wenige Stunden nach dem Update

Am 17. Juli 2026 hat WordPress zwei Lücken im Kern geschlossen. Zusammen heißen sie wp2shell. Über sie konnte ein Fremder ohne Login ein Admin-Konto anlegen und dann eigenen Code auf dem Server ausführen. Dafür brauchte es kein unsicheres Plugin und kein besonderes Theme: Ein frisch installiertes WordPress war angreifbar.

Was ist passiert?

Es sind zwei Lücken, jede mit eigener Kennnummer, einer CVE:

• CVE-2026-63030: Über die Programmierschnittstelle von WordPress (REST API) ließen sich mehrere Anfragen auf einmal schicken. Dabei konnte eine Anfrage die Prüfung einer anderen umgehen. Der CVE-Eintrag stuft das als kritisch ein, mit 9,8 von 10 Punkten.
• CVE-2026-60137: Eine SQL-Injection, also ein Weg, eigene Befehle an die Datenbank zu schicken. Der CVE-Eintrag und WordPress stufen sie als mittel ein (5,9), Wordfence als hoch (7,5).

Erst zusammen werden sie gefährlich. Gefunden hat die Kette Adam Kues von Searchlight Cyber, nach eigenen Angaben mithilfe einer KI.

Wie schnell die Angriffe kamen

Laut Wordfence gab es die ersten Angriffsversuche in der Nacht nach dem Update, wenige Stunden nach der Veröffentlichung. Ab dem 18. Juli spricht Wordfence von massenhafter Ausnutzung. Die US-Behörde CISA hat beide Lücken am 21. Juli in ihre Liste aktiv ausgenutzter Lücken aufgenommen. Typisch war laut Wordfence: Der Angreifer legt ein neues Admin-Konto an und lädt darüber ein eigenes Plugin hoch.

Das ist das Muster, das wir gerade auch bei PHP2Shell sehen. Zwischen Update und Angriff liegen heute Stunden, nicht Wochen.

Bist du betroffen?

WordPress-Version	Betroffen von	Behoben in
7.0.0 bis 7.0.1	beiden Lücken, Übernahme ohne Login	7.0.2
6.9.0 bis 6.9.4	beiden Lücken, Übernahme ohne Login	6.9.5
6.8.0 bis 6.8.5	nur der SQL-Injection	6.8.6
älter als 6.8	laut WordPress nicht betroffen

Bei 6.8 greift die SQL-Injection laut CVE-Eintrag nur, wenn ein Plugin oder Theme ungeprüfte Eingaben an die betroffene Stelle weitergibt.

WordPress hat das Update wegen der Schwere über die automatischen Updates erzwungen. Das klappt laut WordPress aber nur auf Websites, die automatische Updates im Hintergrund unterstützen. Wordfence rät deshalb ausdrücklich, nachzusehen.

Was du jetzt tun solltest

Auch drei Monate später lohnt sich der Blick, denn ein Angreifer, der damals drin war, kann es heute noch sein.

1. Version prüfen. Im Dashboard unter Aktualisierungen. Es muss mindestens 7.0.2, 6.9.5 oder 6.8.6 sein.
2. Admin-Konten prüfen. Unter Benutzer, gefiltert nach Administrator. Wordfence rät, unbekannte Admins zu löschen, besonders solche, die am 17. Juli 2026 oder später angelegt wurden.
3. Plugins prüfen. Gibt es Plugins, die niemand installiert hat?
4. Im Zweifel als gehackt behandeln. Wordfence schreibt: Ein Angreifer kann seine Spuren verwischen, leere Protokolle sind kein Beweis. Was dann zu tun ist, steht in Website gehackt: Was das heißt.

Läuft deine WordPress-Website auf einer alten PHP-Version, prüf auch die gleich mit. PHP2Shell betrifft PHP selbst, ein aktuelles WordPress schützt davor nicht.

Quellen

• WordPress.org: WordPress 7.0.2 Release, 17. Juli 2026
• CVE-Einträge: CVE-2026-63030 und CVE-2026-60137
• WordPress: Sicherheitsmeldungen GHSA-ff9f-jf42-662q und GHSA-fpp7-x2x2-2mjf
• Searchlight Cyber: wp2shell: Pre-authentication RCE in WordPress Core
• Wordfence: wp2shell Aftermath, 20. Juli 2026, und Technical Analysis and Real Attack Data, 29. Juli 2026
• Wiz: wp2shell