wp2shell: Die kritische Pre-Auth-RCE-Lücke in WordPress Core – was Site-Betreiber jetzt wissen müssen

Am 17. Juli 2026 veröffentlichte das WordPress-Sicherheitsteam einen koordinierten Security-Release, der in der Security-Community hohe Wellen schlägt: wp2shell. Anders als die üblichen Plugin-Schwachstellen, die WordPress-Admins seit Jahren plagen, trifft wp2shell den Core selbst — und das auf eine Weise, die keinen Login, kein Plugin und keine Benutzerinteraktion erfordert. Ein einziger anonymer POST-Request an den REST-API-Batch-Endpunkt genügt, um auf einer Standardinstallation Code auszuführen.

Was wp2shell von früheren WordPress-Schwachstellen unterscheidet, ist die Angriffsoberfläche: Die verwundbare REST-API-Route /wp-json/batch/v1 ist seit WordPress 5.6 im Jahr 2020 standardmäßig aktiv. Das bedeutet, dass praktisch jede aktive WordPress-Installation der betroffenen Versionen den Endpunkt exponiert — ohne dass ein Administrator ihn jemals bewusst aktiviert hätte.

Inhaltsverzeichnis

Was ist wp2shell? Die zwei CVEs im Überblick
Die Angriffskette: Vom anonymen POST zur Code-Ausführung
CVE-2026-60137: Die SQL-Injection im Kern
CVE-2026-63030: Route Confusion im REST-API-Batch-Endpunkt
Betroffene Versionen und Patch-Status
Erkennung: Bin ich verwundbar?
Sofortmaßnahmen für Site-Betreiber
Technische Tiefenanalyse: Warum das Batch-Routing zum Problem wurde
WAF-Regeln und temporäre Mitigation
Public PoC und Ausnutzbarkeit in freier Wildbahn
Was wp2shell von Log4Shell und anderen RCE-Klassikern unterscheidet
Langfristige Konsequenzen für WordPress-Sicherheitsarchitektur
FAQ
Fazit

Kurzantwort

wp2shell (CVE-2026-63030 & CVE-2026-60137) erlaubt unauthentifizierte Remote Code Execution in WordPress Core. Welche Versionen betroffen sind, wie die Angriffskette funktioniert und was jetzt zu tun ist. Kurz gesagt: ki tools praxis ist vor allem dann relevant, wenn du schnell verstehen willst, was konkret dahinter steckt, welche Grenzen es gibt und welche Entscheidung daraus folgt. Die Details, Quellen und Einschränkungen stehen in den folgenden Abschnitten.

Was ist wp2shell? Die zwei CVEs im Überblick

wp2shell ist kein einzelner Bug, sondern eine Kette aus zwei Sicherheitslücken, die zusammen eine Pre-Authentication-Remote-Code-Execution (Pre-Auth-RCE) in WordPress Core ermöglichen. Beide wurden am 17. Juli 2026 offengelegt und tragen eigene CVE-Nummern:

CVE-2026-60137 ist eine SQL-Injection im author__not_in-Parameter der WP_Query-Klasse, der zentralen Abfragekomponente von WordPress. Die Schwachstelle betrifft WordPress ab Version 6.8 und ist laut NVD darauf zurückzuführen, dass der Parameter nicht ausreichend desinfiziert wird. Für sich genommen erlaubt CVE-2026-60137 Datenbankzugriffe, aber noch keine Code-Ausführung.

CVE-2026-63030 ist der zweite Teil der Kette: ein Route-Confusion-Problem im REST-API-Batch-Endpunkt unter /wp-json/batch/v1. Die Schwachstelle ermöglicht es einem Angreifer, die interne Anfrageweiterleitung des Batch-Endpunkts so zu manipulieren, dass er die SQL-Injection aus CVE-2026-60137 über einen eigentlich nicht exponierten Pfad erreicht — und von dort aus zur vollständigen Code-Ausführung eskaliert. CVE-2026-63030 betrifft WordPress ab Version 6.9.

Zusammen ergeben beide CVEs eine Angriffskette, die bei einer Standard-WordPress-Installation ohne Plugins, ohne Benutzerkonto und ohne jegliche Vorbedingungen funktioniert. Der Angreifer benötigt nur die URL der Zielseite.

Die Angriffskette: Vom anonymen POST zur Code-Ausführung

Der Angriffsablauf lässt sich in vier Schritten zusammenfassen. Keiner davon erfordert Authentifizierung:

Batch-Endpoint ansprechen: Der Angreifer sendet einen POST-Request an /wp-json/batch/v1. Dieser Endpunkt ist dafür vorgesehen, mehrere REST-API-Aufrufe in einer einzigen HTTP-Anfrage zu bündeln — ein Feature, das seit WordPress 5.6 standardmäßig existiert.
Route Confusion ausnutzen: Durch geschickt konstruierte Parameter im Batch-Request bringt der Angreifer das interne Routing dazu, eine eigentlich interne oder anderweitig nicht erreichbare WordPress-Funktion anzusteuern — konkret eine, die den verwundbaren author__not_in-Parameter an WP_Query durchreicht.
SQL-Injection triggern: Über den unsauber desinfizierten author__not_in-Parameter wird eine SQL-Injection in die Datenbank injiziert. Da es sich um eine blinde SQL-Injection handelt, extrahiert der Angreifer schrittweise Daten aus der Datenbank — darunter Administrations-Hashes und Authentifizierungsinformationen.
Code-Ausführung erzielen: Mit den extrahierten Zugangsdaten oder durch Manipulation der Datenbank selbst erreicht der Angreifer schließlich die Ausführung beliebigen PHP-Codes auf dem Server. An diesem Punkt ist die WordPress-Installation vollständig kompromittiert. Der Serverprozess läuft typischerweise mit den Rechten des Webserver-Benutzers, was Dateizugriff, Persistenz und laterale Bewegung im Netzwerk ermöglicht.

Die gesamte Kette wird von den Entdeckern als „ein anonymer POST vom Internet zur Shell" beschrieben — daher der Name wp2shell. Laut der technischen Analyse von FullHunt, die eine der detailliertesten öffentlichen Aufarbeitungen liefert, sind es im Kern drei kleine Fehler in der WordPress-Core-Architektur, die sich zu diesem kritischen Angriffspfad verketten.

ki tools praxis – Illustration 2

CVE-2026-60137: Die SQL-Injection im Kern

CVE-2026-60137 betrifft den author__not_in-Parameter der WP_Query-Klasse. WP_Query ist das Arbeitspferd von WordPress: Nahezu jede Datenbankabfrage — ob für Blogbeiträge, Seiten, Medien oder benutzerdefinierte Post-Types — läuft über diese Klasse. Der author__not_in-Parameter erlaubt es, Autoren-IDs von einer Abfrage auszuschließen.

Das Problem: WordPress bereinigt die an author__not_in übergebenen Werte nicht ausreichend, bevor sie in die SQL-Abfrage eingebaut werden. Unter normalen Umständen ist dieser Parameter nicht direkt von außen erreichbar — er wird typischerweise von Theme- oder Plugin-Code gesetzt, der selbst wiederum vertrauenswürdige Eingaben verwendet. Genau hier setzt CVE-2026-63030 an.

Die NVD-Eintragung zu CVE-2026-60137 vermerkt explizit, dass die Schwachstelle auch dann ausgenutzt werden kann, „wenn ein Plugin oder Theme ungeprüfte Eingaben an den Parameter weitergibt". Das deutet darauf hin, dass das WordPress-Sicherheitsteam die grundsätzliche Gefahr im WP_Query-Design erkannt hat, aber die direkte Erreichbarkeit über den REST-API-Batch-Endpunkt unterschätzt wurde.

Für sich genommen ist eine SQL-Injection in WordPress gravierend, aber keine Seltenheit. Was CVE-2026-60137 von früheren WordPress-SQL-Injections unterscheidet, ist der Expositionspfad: Sie ist über den Batch-Endpunkt ohne Authentifizierung erreichbar.

CVE-2026-63030: Route Confusion im REST-API-Batch-Endpunkt

CVE-2026-63030 ist der Mechanismus, der aus einer theoretisch interessanten SQL-Injection eine praktisch ausnutzbare Pre-Auth-RCE macht. Der Fehler liegt im WordPress-REST-API-Batch-Endpunkt unter /wp-json/batch/v1.

Der Batch-Endpunkt wurde mit WordPress 5.6 eingeführt, um die Performance von REST-API-Clients zu verbessern. Statt mehrere einzelne HTTP-Anfragen zu stellen, kann ein Client mehrere Aufrufe in einem JSON-Objekt bündeln. WordPress verarbeitet diese Aufrufe dann intern und liefert die Ergebnisse gesammelt zurück.

Die Route Confusion entsteht, weil der Batch-Endpunkt nicht ausreichend validiert, welche internen Routen tatsächlich über den Batch-Mechanismus angesprochen werden dürfen. Ein Angreifer kann eine Anfrage konstruieren, die den Batch-Endpunkt dazu bringt, eine WordPress-interne Funktion aufzurufen, die den author__not_in-Parameter an WP_Query durchreicht — ein Pfad, der für anonyme externe Anfragen niemals vorgesehen war.

Die Sicherheitsforscher von FullHunt beschreiben den Mechanismus als „Desynchronisation" zwischen der vom Batch-Endpunkt erwarteten und der tatsächlich ausgeführten Route. Der Batch-Endpunkt vertraut darauf, dass die interne Route-Prüfung korrekt arbeitet — aber genau diese Prüfung lässt sich durch die Konstruktion des Batch-Payloads umgehen.

Betroffene Versionen und Patch-Status

Die konkreten betroffenen und gepatchten Versionen:

WordPress-Branch	Verwundbare Versionen	Gepatcht in
6.8.x	6.8.0 – 6.8.5	6.8.6
6.9.x	6.9.0 – 6.9.4	6.9.5
7.0.x	7.0.0 – 7.0.1	7.0.2

WordPress hat für die Verteilung der Patches einen ungewöhnlichen Schritt unternommen: Das Sicherheitsteam aktivierte erzwungene automatische Updates für alle betroffenen Installationen. Das bedeutet, dass viele Sites bereits gepatcht sein dürften — vorausgesetzt, die automatischen Hintergrund-Updates von WordPress sind nicht durch Konfiguration oder Hosting-Umgebung deaktiviert.

Trotzdem sollten Site-Betreiber aktiv prüfen, ob ihre Installation aktualisiert wurde. Managed-Hosting-Umgebungen, Sites hinter aggressiven Caching-Layern und Installationen mit manuell deaktivierten Auto-Updates könnten noch ungepatcht sein.

WordPress verfolgt seit Version 3.7 (2013) eine Strategie der automatischen Sicherheitsupdates. Kritische Sicherheitslücken werden seitdem per forced update ausgerollt. wp2shell ist einer der seltenen Fälle, in denen diese Strategie für eine Core-Schwachstelle dieser Schwere aktiviert wurde.

Erkennung: Bin ich verwundbar?

Es gibt mehrere Methoden, um zu prüfen, ob eine WordPress-Installation betroffen ist:

Versionsprüfung: Die schnellste Methode ist der Blick ins Dashboard unter „Aktualisierungen" oder in die Datei /wp-includes/version.php. Dort ist die genaue WordPress-Version hinterlegt, und die WordPress-eigene Update-Prüfung zeigt verfügbare Aktualisierungen an.

Batch-Endpunkt prüfen: Ob der Batch-Endpunkt erreichbar ist, lässt sich mit einem einfachen curl-Aufruf testen. Ein GET auf /wp-json/batch/v1 sollte bei den meisten Installationen einen 404- oder 405-Statuscode liefern, während POST-Anfragen verarbeitet werden. Die reine Erreichbarkeit des Endpunkts ist allerdings kein definitiver Indikator für Verwundbarkeit — sie zeigt nur, dass der Endpunkt existiert.

Log-Analyse: Server-Zugriffslogs auf verdächtige POST-Anfragen an /wp-json/batch/v1 untersuchen. Auffällig sind dabei Requests mit ungewöhnlich großen Payloads oder JSON-Strukturen, die mehrere verschachtelte Batch-Anfragen enthalten. Besonders verdächtig: Requests ohne gültige WordPress-Nonce oder Authentifizierungs-Header an diesen Endpunkt.

Externe Scanner: Diverse Sicherheitsplattformen haben innerhalb von Stunden nach der Offenlegung Erkennungssignaturen veröffentlicht. Anbieter wie Wordfence, Sucuri, GridinSoft und Aikido bieten aktualisierte Scan-Engines, die wp2shell-spezifische IoCs erkennen.

Sofortmaßnahmen für Site-Betreiber

Update auf die gepatchte Version. Das ist die einzig vollständige Lösung. WordPress 6.8.6, 6.9.5 oder 7.0.2 installieren — je nach verwendetem Branch. Wer einen Managed-Hosting-Anbieter nutzt, sollte prüfen, ob das Update bereits ausgerollt wurde.
Auto-Updates verifizieren. Im WordPress-Dashboard unter „Aktualisierungen" prüfen, ob automatische Updates aktiv sind. Hosting-Umgebungen, die Schreibzugriffe auf das WordPress-Verzeichnis durch den Webserver unterbinden, können automatische Updates blockieren.
Web Application Firewall aktivieren. WAF-Anbieter wie Cloudflare, Sucuri oder Wordfence haben innerhalb von Stunden nach der Offenlegung Regeln für wp2shell ausgerollt. Eine WAF allein bietet keinen vollständigen Schutz, kann aber die akute Gefahr bis zum Einspielen des Patches reduzieren.
Logs prüfen. Zugriffs- und PHP-Error-Logs auf Anomalien im Zeitraum vor und nach dem 17. Juli durchsuchen. Besonders wichtig: POST-Anfragen an /wp-json/batch/v1 von IP-Adressen, die nicht zu bekannten REST-API-Clients oder legitimen Integrationsdiensten gehören.
Datenbank-Integrität prüfen. Da der Angriff über die author__not_in-SQL-Injection sensible Datenbankinhalte wie Admin-Passwort-Hashes extrahieren kann, sollten alle Benutzer-Passwörter nach dem Update zurückgesetzt und die Salts in wp-config.php erneuert werden.

Technische Tiefenanalyse: Warum das Batch-Routing zum Problem wurde

Der Batch-Endpunkt der WordPress-REST-API ist ein lehrreiches Beispiel dafür, wie Performance-Optimierungen zu Sicherheitsproblemen werden können. Das Feature wurde 2020 mit WordPress 5.6 eingeführt und war als Antwort auf die wachsende Nutzung der REST-API durch den Block-Editor (Gutenberg) und Headless-WordPress-Setups gedacht.

Die Architektur des Batch-Endpunkts funktioniert so: Ein Client sendet ein JSON-Objekt mit dem Schlüssel requests, das ein Array mehrerer Einzelanfragen enthält. Jede Einzelanfrage spezifiziert einen Pfad (z. B. /wp/v2/posts), optional Query-Parameter und einen Body. WordPress iteriert intern über diese Anfragen und führt jede einzeln aus, als wären es separate REST-API-Calls.

Das Sicherheitsproblem liegt in der internen Router-Logik: Der Batch-Handler vertraut darauf, dass das WordPress-REST-API-Routing nur registrierte und berechtigungsgeprüfte Endpunkte durchlässt. In der Theorie ist das korrekt — REST-API-Routen werden mit detaillierten Permission-Callbacks registriert. In der Praxis existieren jedoch interne Routen, deren Permission-Callback entweder fehlerhaft ist oder die über den Batch-Endpunkt anders behandelt werden als bei direkten Anfragen.

Die FullHunt-Analyse spricht von drei separaten kleinen Fehlern, die zusammenspielen. Einer davon ist die fehlende strikte Trennung zwischen „öffentlich batchfähigen" und „nur intern erreichbaren" Routen. Ein zweiter ist die inkonsistente Behandlung von Query-Parametern im Batch-Kontext. Der dritte ist die fehlende Desinfektion im author__not_in-Parameter selbst.

WAF-Regeln und temporäre Mitigation

Wer aus technischen oder organisatorischen Gründen nicht sofort patchen kann, hat begrenzte, aber wirksame Optionen:

Apache/.htaccess: Den Batch-Endpunkt blockieren:

RewriteEngine On
RewriteCond %{REQUEST_METHOD} POST
RewriteRule ^wp-json/batch/v1 - [F]

nginx: Äquivalent in der Server-Konfiguration:

location = /wp-json/batch/v1 {
    if ($request_method = POST) {
        return 403;
    }
}

Diese Blockade deaktiviert die Batch-Funktionalität vollständig. Das kann legitime REST-API-Clients beeinträchtigen, die den Batch-Endpunkt verwenden — etwa den Gutenberg-Editor in bestimmten Konfigurationen oder Headless-Frontends. In der Praxis nutzen die meisten Standard-WordPress-Installationen den Batch-Endpunkt jedoch nicht aktiv.

Achtung: Die serverseitige Blockade des Batch-Endpunkts verhindert nur die Ausnutzung über CVE-2026-63030. Falls ein Plugin oder Theme den author__not_in-Parameter auf anderem Weg mit ungeprüften Eingaben versorgt, bleibt CVE-2026-60137 potenziell ausnutzbar. Die serverkonfigurative Mitigation ist daher eine Übergangslösung, kein Ersatz für das Update.

Public PoC und Ausnutzbarkeit in freier Wildbahn

Am 18. Juli 2026 — einen Tag nach der koordinierten Offenlegung — veröffentlichte der Sicherheitsforscher Icex0 einen funktionsfähigen Proof-of-Concept-Exploit auf GitHub. Das Repository Icex0/wp2shell-poc enthält funktionierenden Exploit-Code, der die vollständige Kette von CVE-2026-63030 und CVE-2026-60137 demonstriert.

Der PoC zeigt, dass der Exploit unter Laborbedingungen zuverlässig funktioniert: Ein einzelner POST-Request an den Batch-Endpunkt reicht aus, um zunächst Datenbankinhalte zu extrahieren und in weiteren Schritten Code-Ausführung zu erzielen. Die genaue Erfolgsquote hängt von der Serverkonfiguration ab — insbesondere von der PHP-Version, den installierten PHP-Erweiterungen und den Dateisystemrechten des Webserver-Prozesses.

BleepingComputer berichtete am 18. Juli, dass zu diesem Zeitpunkt keine bestätigten In-the-Wild-Exploits bekannt waren. Das ist ein schmales Zeitfenster: Zwischen der Offenlegung und dem Erscheinen des PoC lag weniger als ein Tag, und bis zur flächendeckenden Ausnutzung durch automatisierte Scanner und opportunistische Angreifer dürften nur weitere Stunden vergehen.

Die Security-Community stuft die Ausnutzbarkeit als hoch ein. Der Exploit benötigt keine spezifischen Vorbedingungen — keine installierten Plugins, keine Benutzerkonten, keinen Social-Engineering-Vektor. Eine erreichbare WordPress-Installation der verwundbaren Versionen genügt.

Was wp2shell von Log4Shell und anderen RCE-Klassikern unterscheidet

Vergleiche mit Log4Shell (CVE-2021-44228) liegen nahe, denn beide Schwachstellen teilen zentrale Eigenschaften: Sie betreffen weit verbreitete Standardkomponenten, sind ohne Authentifizierung ausnutzbar und erlauben Remote Code Execution. Es gibt aber wesentliche Unterschiede:

Angriffsoberfläche: Bei Log4Shell war praktisch jede Java-Anwendung betroffen, die Log4j nutzte — von Minecraft-Servern über Unternehmensanwendungen bis zu IoT-Geräten. wp2shell betrifft „nur" WordPress, aber WordPress läuft auf etwa 43 Prozent aller Websites weltweit. In absoluten Zahlen ist die Angriffsfläche mit geschätzt über 500 Millionen potenziell betroffenen Sites ähnlich gewaltig.

Exploit-Komplexität: Log4Shell ließ sich in vielen Fällen mit einer einzigen JNDI-Referenz in einem Log-Eintrag ausnutzen — teilweise genügte ein manipulierter User-Agent-Header. wp2shell erfordert eine verschachtelte REST-API-Anfrage und eine mehrstufige Angriffskette. Der Exploit ist technisch anspruchsvoller, aber durch den öffentlichen PoC für jeden reproduzierbar.

Patch-Verteilung: WordPress hat mit dem erzwungenen Auto-Update einen effektiven Verteilungsmechanismus für Sicherheitspatches. Bei Log4Shell existierte kein solcher zentraler Mechanismus — jede betroffene Anwendung musste einzeln aktualisiert werden. Das spricht im Fall von wp2shell für eine schnellere Gesamtbereinigung, zumindest im WordPress-eigenen Ökosystem.

Post-Exploitation: Ein kompromittierter WordPress-Server bietet Angreifern Zugriff auf die Datenbank, das Dateisystem und — je nach Hosting-Architektur — potenziell andere Sites auf demselben Server. WordPress-Hosting-Umgebungen sind notorisch schlecht isoliert, was laterale Bewegung begünstigt.

Langfristige Konsequenzen für die WordPress-Sicherheitsarchitektur

wp2shell wirft grundlegende Fragen zur WordPress-Sicherheitsarchitektur auf, die über den konkreten Patch hinausgehen:

REST-API-Exposition: Der Batch-Endpunkt ist ein Feature, das die wenigsten WordPress-Site-Betreiber bewusst nutzen. Seine standardmäßige Aktivierung ohne Opt-out-Mechanismus ist sicherheitspolitisch fragwürdig — insbesondere für einen Endpunkt, der beliebige interne REST-API-Calls bündeln und ausführen kann.

WP_Query-Sicherheit: Die SQL-Injection in author__not_in ist kein isolierter Fall. WP_Query akzeptiert Dutzende Parameter, von denen viele intern in SQL übersetzt werden. Die Klasse wurde über Jahre erweitert, ohne dass jeder Parameter konsequent auf Desinfektion geprüft wurde. wp2shell zeigt, dass diese Architekturentscheidung jetzt zu teuren Konsequenzen führt.

Plugin-freie Verwundbarkeit: Die WordPress-Sicherheitsdebatte fokussiert sich seit Jahren auf Plugins als Hauptangriffsvektor. wp2shell widerlegt die Annahme, dass eine plugin-freie Standardinstallation sicher sei. Im Gegenteil: Der Fehler liegt im Core selbst, und die Standardkonfiguration exponiert den verwundbaren Pfad ohne Zutun des Betreibers.

Automatische Updates als Rettungsanker: Die erzwungenen Auto-Updates sind im Fall von wp2shell die effektivste Verteidigungslinie. Sie funktionieren aber nur, wenn der Webserver Schreibzugriff auf das WordPress-Verzeichnis hat — was in sicherheitsbewussten Hosting-Umgebungen gezielt unterbunden wird. Das erzeugt ein Paradox: Ausgerechnet die Installationen mit dem höchsten Sicherheitsbewusstsein sind möglicherweise am längsten ungepatcht.

Entscheidungshilfe: Wann ist das sinnvoll?

Eher sinnvoll, wenn du ki tools praxis nicht nur als Nachricht lesen willst, sondern eine praktische Einordnung brauchst: Was ändert sich, wen betrifft es und welche nächsten Schritte sind realistisch?

Eher abwarten, wenn die Quellenlage noch dünn ist, wichtige technische Details fehlen oder der Nutzen nur aus Hersteller- oder Projektversprechen besteht. Dann ist Beobachten besser als vorschnelles Umstellen.

Worauf du achten solltest: konkrete Verfügbarkeit, nachvollziehbare Kosten, offene Einschränkungen, Sicherheits- oder Datenschutzfolgen und belastbare Quellen statt bloßer Ankündigungen.

FAQ

Bin ich betroffen, wenn ich nur eine kleine WordPress-Seite betreibe?

Ja. Die Schwachstelle betrifft jede Installation der genannten Versionen, unabhängig von Größe, Traffic oder Plugin-Bestand. Automatisierte Scanner durchkämmen das Internet nach verwundbaren WordPress-Installationen, sobald ein Exploit öffentlich ist. Auch kleine Seiten werden gefunden.

Schützen Sicherheits-Plugins wie Wordfence vor wp2shell?

Wordfence und andere Security-Plugins haben innerhalb von Stunden nach der Offenlegung WAF-Regeln für wp2shell veröffentlicht. Eine aktuelle Version mit aktivierter Firewall bietet Schutz gegen die bekannten Exploit-Muster. Die Entwickler weisen jedoch ausdrücklich darauf hin, dass WAF-Regeln keinen vollständigen Schutz bieten, da Angreifer den Exploit modifizieren können, um Signaturen zu umgehen. Das Update auf die gepatchte Core-Version ist die einzige vollständige Lösung.

Kann ich einfach den Batch-Endpunkt deaktivieren, statt zu updaten?

Ja, die Blockade von POST-Anfragen an /wp-json/batch/v1 auf Server-Ebene unterbindet den derzeit bekannten Angriffsvektor über CVE-2026-63030. Das schützt aber nicht vor der SQL-Injection (CVE-2026-60137), falls diese auf anderem Wege erreichbar wird. Die Endpunkt-Blockade ist eine temporäre Maßnahme, kein dauerhafter Ersatz für das Core-Update.

Was tun, wenn meine Site bereits kompromittiert wurde?

Standard-Incident-Response-Verfahren für WordPress: Site in den Wartungsmodus versetzen, Backup einspielen (sofern vorhanden und sauber), WordPress-Core und alle Plugins auf die aktuelle Version bringen, alle Benutzer-Passwörter zurücksetzen, Salts und Keys in wp-config.php erneuern, Datenbank auf ungewöhnliche Admin-Benutzer und eingeschleuste Inhalte prüfen. Bei Shared-Hosting den Hoster informieren.

Wie erkenne ich, ob jemand wp2shell bereits gegen meine Site eingesetzt hat?

Indikatoren: Ungewöhnliche Admin-Benutzer in der Datenbank (Tabelle wp_users), unbekannte PHP-Dateien im Upload-Verzeichnis oder in /wp-content/, manipulierte wp-config.php, POST-Logs an /wp-json/batch/v1 von unbekannten IPs, plötzlicher Traffic-Anstieg oder Spam-Versand über die WordPress-Mail-Funktion.

Ist WordPress 6.7 oder älter betroffen?

Nein. CVE-2026-60137 betrifft WordPress ab Version 6.8, CVE-2026-63030 betrifft WordPress ab Version 6.9. Installationen mit Version 6.7.x und älter sind von dieser spezifischen Schwachstelle nicht betroffen — sollten aber aus allgemeinen Sicherheitsgründen trotzdem aktualisiert werden.

Gilt die Schwachstelle auch für WordPress.com oder Managed-Hosting?

WordPress.com hat nach eigenen Angaben alle gehosteten Installationen innerhalb von Stunden nach der Offenlegung gepatcht. Managed-WordPress-Hoster wie WP Engine, Kinsta, Flywheel und andere haben weitgehend automatische Update-Mechanismen implementiert. Site-Betreiber sollten dennoch im Dashboard den Versionsstand prüfen.

Fazit

wp2shell ist die schwerwiegendste WordPress-Core-Schwachstelle seit Jahren — nicht weil sie technisch besonders raffiniert wäre, sondern weil sie so grundlegende Architekturannahmen von WordPress aushebelt. Dass eine Standardinstallation ohne Plugins, ohne Benutzerinteraktion und ohne Vorbedingungen aus der Ferne übernommen werden kann, ist ein Szenario, das die WordPress-Entwickler lange für ausgeschlossen hielten.

Die gute Nachricht: WordPress hat schnell und konsequent reagiert. Der koordinierte Security-Release am Tag der Offenlegung, die erzwungenen Auto-Updates und die transparente Kommunikation sind vorbildlich. Für die meisten Site-Betreiber heißt die Handlungsanweisung: Prüfen, ob das Update installiert ist. Wenn nicht: sofort updaten.

Die schlechte Nachricht: Ein funktionsfähiger PoC ist öffentlich. Automatisierte Scanner werden in den kommenden Tagen und Wochen das Internet nach verwundbaren Installationen durchkämmen. Wer jetzt nicht patcht, spielt russisches Roulette mit einer Waffe, deren Mechanik öffentlich dokumentiert ist.

Für die WordPress-Community bleibt die Frage, welche Lehren aus wp2shell gezogen werden. Der Batch-Endpunkt ist ein Feature mit begrenztem praktischen Nutzwert, dessen Sicherheitsimplikationen offenbar unterschätzt wurden. Die WP_Query-Klasse braucht eine grundlegende Sicherheitsüberprüfung ihrer Parameter-Desinfektion. Und die Annahme, dass eine plugin-freie WordPress-Installation sicher sei, gehört endgültig ins Archiv der IT-Sicherheitsmythen.

Quellen

Passende Produktrecherchen

Für WordPress-Sicherheit, professionelles Hosting und Backup-Lösungen können folgende Suchen bei Amazon.de bei der Orientierung helfen:

Hinweis: Bei den Links handelt es sich um Produktsuchen auf Amazon.de. Als Amazon Partner verdiene ich an qualifizierten Verkäufen. Die angezeigten Suchergebnisse geben einen Überblick über das verfügbare Sortiment — Preise, Bewertungen und Verfügbarkeit werden von Amazon bereitgestellt und können sich jederzeit ändern.

ki tools praxis – Illustration 3