WordPress-Sicherheitslücke wp2shell: Warum Sie jetzt updaten sollten

Gründer und Digitalisierungs-Experte

Aktualisiert: August 13, 2026

Lesezeit ca.: 14 Minuten

Bei Google als Quelle merken Gefällt Ihnen dieser Beitrag? Merken Sie uns bei Google als Quelle — dann taucht unsere Recherche bei Ihrer nächsten Suche wieder auf, statt unterzugehen. Fünf Sekunden, jederzeit widerrufbar.

Wenn Sie eine WordPress-Website betreiben, betrifft Sie diese Meldung direkt. Am 17. und 18. Juli 2026 wurde eine kritische Sicherheitslücke im WordPress-Kern bekannt. Sie trägt den Namen wp2shell. Über sie können Fremde ohne Login die Kontrolle über eine Website übernehmen. Das WordPress-Projekt stuft den Fall in seine höchste Dringlichkeitsstufe ein und verteilt die Korrektur automatisch an betroffene Seiten.^[1]

Betroffen sind die WordPress-Versionen 6.8 bis 7.0.1. Die sicheren Versionen heißen 6.8.6, 6.9.5 und 7.0.2. Wer noch nicht auf einer dieser Versionen ist, sollte heute aktualisieren. Wie Sie Ihre Version prüfen und sicher updaten, lesen Sie hier.

Auf einen Blickwp2shell ist eine kritische Lücke im WordPress-Kern. Sie erlaubt es Angreifern, ohne Anmeldung Schadcode auf einer Seite auszuführen. Betroffen sind die Versionen 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 und 7.0.0 bis 7.0.1. Sicher sind 6.8.6, 6.9.5, 7.0.2 und neuer. Die Lösung ist einfach: aktualisieren Sie WordPress auf eine dieser Versionen. Für viele Seiten passiert das automatisch, prüfen sollten Sie es trotzdem.

Update vom 13. August 2026: Weitere Sicherheitsupdates für WordPress

Seit der Veröffentlichung von wp2shell hat WordPress weitere Sicherheitsupdates herausgegeben. Website-Betreiber sollten deshalb heute nicht mehr lediglich prüfen, ob mindestens WordPress 7.0.2 installiert ist, sondern ihr System grundsätzlich auf dem aktuellen Sicherheitsstand halten.

Am 6. August 2026 erschien WordPress 7.0.3 mit mehreren Sicherheitskorrekturen. Unter anderem wurde eine Schwachstelle auf der WordPress-Loginseite geschlossen, die unter bestimmten Voraussetzungen bis zur Ausführung von Schadcode führen konnte.

Bereits am 12. August folgte WordPress 7.0.4. Dieses Update schließt mit CVE-2026-65640 eine weitere Sicherheitslücke, über die unter bestimmten Serverkonfigurationen und mit entsprechenden Benutzerrechten Code auf dem Server ausgeführt werden kann.

Für wp2shell selbst gilt weiterhin: Die Schwachstelle wurde mit WordPress 6.8.6, 6.9.5 beziehungsweise 7.0.2 geschlossen. Wer seine Website heute überprüft, sollte sich jedoch nicht auf diesen Mindeststand verlassen, sondern die jeweils aktuell verfügbaren Sicherheitsupdates installieren.

Unsere Empfehlung: Prüfen Sie WordPress, Plugins und Themes regelmäßig auf verfügbare Updates. Wurde eine Website möglicherweise bereits kompromittiert, reicht ein nachträgliches Update allein nicht aus – vorhandene Schadsoftware oder Hintertüren werden dadurch nicht automatisch entfernt.

WordPress 7.0.4 wurde am 12. August 2026 ausdrücklich als Security Release veröffentlicht und behebt CVE-2026-65640. Die Korrektur wird außerdem bis zurück zum 4.7-Zweig portiert.

Kostenloser WordPress-Sicherheits-Check

Ist Ihre Seite betroffen? Jetzt in 10 Sekunden prüfen

Adresse eingeben. Wir lesen die WordPress-Version aus und sagen Ihnen sofort, ob Sie auf dem sicheren Stand sind, oder ob Sie dringend handeln sollten.

Kostenlos, keine Anmeldung, Ergebnis sofort

Worum geht es?

wp2shell ist keine Lücke in einem Plugin oder Theme, sondern im Kern von WordPress selbst. Das macht sie besonders ernst, denn WordPress ist das mit Abstand am weitesten verbreitete System für Websites. Wo eine Kernlücke aufgeht, sind auf einen Schlag sehr viele Seiten angreifbar.

Technisch besteht wp2shell aus zwei einzelnen Schwachstellen, die zusammengeschaltet werden. Fachleute vergeben dafür sogenannte CVE-Nummern, das sind weltweit eindeutige Kennungen für Sicherheitslücken:

CVE-2026-60137 (SQL-Injection, hoch): Über eine manipulierte Anfrage lässt sich eine Datenbankabfrage verändern. So kommt ein Angreifer an Daten oder schiebt eigene Werte in die Datenbank.
CVE-2026-63030 (Fernausführung, kritisch): Eine Schwäche in der Batch-Schnittstelle der WordPress-Programmierschnittstelle (REST-API) erlaubt es, die erste Lücke ohne Login auszulösen. Am Ende steht die Ausführung von fremdem Code auf dem Server.^[2]

Zur genauen Einordnung: Die komplette Angriffskette bis zur Code-Ausführung betrifft die Versionen 6.9.0 bis 7.0.1, denn die Batch-Schwäche existiert erst ab WordPress 6.9. Die 6.8er-Reihe ist von der SQL-Injection betroffen und braucht das Update auf 6.8.6 genauso dringend.

Die Batch-Schnittstelle ist eigentlich eine praktische Funktion: Sie bündelt mehrere Anfragen zu einem Paket. Genau an dieser Stelle wird eine Prüfung übersprungen, wenn man ihr die Daten in einer unerwarteten Form übergibt. Dadurch greifen die beiden Lücken ineinander. „Ohne Login“ heißt: Der Angreifer braucht weder ein Benutzerkonto noch ein Passwort. Wir gehen hier bewusst nur auf hoher Ebene darauf ein. Eine Anleitung zum Ausnutzen der Lücke finden Sie in diesem Beitrag nicht.

Zwei Schwächen ergeben zusammen die kritische LückeBatch-SchnittstellePrüfung wirdübersprungen+SQL-InjectionDatenbankabfragewird manipuliert→wp2shellCode-Ausführungohne LoginCVE-2026-60137 (SQL-Injection) und CVE-2026-63030 (Batch-Schnittstelle) wirken zusammen.Einzeln unangenehm, zusammengeschaltet kritisch.

wp2shell entsteht, weil zwei getrennte Schwächen im WordPress-Kern ineinandergreifen.

Gut zu wissenDie kritische Kette greift vor allem auf Standard-Installationen, bei denen kein dauerhafter Objekt-Cache (etwa Redis oder Memcached) aktiv ist. Das trifft auf die meisten kleineren Websites zu. Verlassen Sie sich aber nicht darauf: Aktualisieren Sie in jedem Fall, unabhängig von Ihrer Server-Konfiguration.

Bin ich betroffen?

Die Frage lässt sich klar beantworten. Entscheidend ist Ihre WordPress-Version. Betroffen sind alle Installationen in diesen Bereichen: 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Versionen vor 6.8 sind von dieser Lücke nicht betroffen, sollten aus anderen Gründen aber ohnehin längst aktualisiert sein.^[2]

Bin ich betroffen?⚠ 6.8.0 bis 7.0.1betroffen und angreifbar6.8er, 6.9er und 7.0er ReiheJetzt sofort handeln✓ 6.8.6 / 6.9.5 / 7.0.2gegen diese Lücke geschütztvorausgesetzt, die Seite warvorher noch nicht kompromittiertVersionen vor 6.8 sind von dieser konkreten Lücke nicht betroffen, aber trotzdem veraltet.

Alles von 6.8.0 bis 7.0.1 ist angreifbar. Ab 6.8.6, 6.9.5 beziehungsweise 7.0.2 ist die Lücke geschlossen.

Die folgende Tabelle zeigt, welche sichere Version zu Ihrem WordPress-Zweig gehört:

Ihr WordPress-Zweig	Betroffen	Sichere Version
6.8er-Reihe	6.8.0 bis 6.8.5	6.8.6
6.9er-Reihe	6.9.0 bis 6.9.4	6.9.5
7.0er-Reihe	7.0.0 bis 7.0.1	7.0.2

So prüfen Sie Ihre Version

Ihre WordPress-Version steht im Adminbereich. Melden Sie sich im WordPress-Dashboard an. Unten rechts in der Fußzeile des Dashboards wird die Versionsnummer angezeigt. Ausführlicher finden Sie sie unter „Werkzeuge“ und dort im „Website-Zustand“. Liegt Ihre Nummer im betroffenen Bereich, müssen Sie handeln.

Was im Ernstfall passiert

Eine Lücke, über die sich Code ohne Login ausführen lässt, ist deshalb so kritisch, weil Angreifer damit dauerhaft Fuß fassen können. Typischerweise passiert eines oder mehreres davon:

Hintertür (Backdoor): ein verstecktes Programm, das dem Angreifer auch später noch heimlichen Zugriff gibt, selbst nach einem Update.
Webshell: eine getarnte Datei, über die Befehle auf dem Server ausgeführt werden, oft als harmlose Datei maskiert.
Datenabfluss: Über die SQL-Injection lassen sich Inhalte der Datenbank auslesen, etwa Benutzerkonten.
Spam und Weiterleitungen: Ihre Seite verschickt unbemerkt Massen-E-Mails oder leitet Besucher auf fremde Seiten um. Das schadet Ihrem Ruf.
Blacklisting: Suchmaschinen und Browser stufen Ihre Seite als gefährlich ein und warnen Besucher. Das kostet Sichtbarkeit und Vertrauen.

WichtigKurz nach dem Bekanntwerden wurde eine Machbarkeitsdemonstration (ein sogenannter Proof of Concept) öffentlich geteilt. Solche Lücken werden dann automatisiert und in großer Zahl ausgenutzt. Es geht nicht um einen gezielten Angriff auf Ihre Marke. Programme durchsuchen das gesamte Netz nach verwundbaren Seiten und schlagen automatisch zu. Genau deshalb zählt jeder Tag, an dem Sie noch nicht aktualisiert haben.

So läuft ein automatisierter Massen-Angriff1. Lücke bekanntKernlücke wirdöffentlich2. Bots scannenProgramme suchendas ganze Netz ab3. Massen-ExploitTausende Seitengleichzeitig4. HintertürBackdoor undSchadcode bleiben→→→Zwischen Schritt 1 und 3 liegen oft nur Stunden. Tempo schlägt Tarnung.

Wird eine Lücke öffentlich, vergehen oft nur Stunden, bis automatisierte Programme tausende Seiten gleichzeitig angreifen.

Daniel Haenle
Gründer & Ihr Ansprechpartner

Haben Sie Fragen oder benötigen Hilfe bei dem Thema „WordPress Sicherheit"?

Unsere Full-Service-Agentur kann Ihnen bei Fragen und der Umsetzung zur Seite stehen. Zögern Sie nicht, uns zu kontaktieren. Wir freuen uns darauf, von Ihnen zu hören.

Jetzt einfach Kontakt aufnehmen

Jetzt updaten: Schritt für Schritt

Das Update ist in den allermeisten Fällen unkompliziert und in wenigen Minuten erledigt. wp2shell wurde in den Versionszweigen 6.8.6, 6.9.5 und 7.0.2 geschlossen. Inzwischen sind weitere Sicherheitsupdates erschienen. Installieren Sie daher grundsätzlich die aktuell verfügbare WordPress-Version beziehungsweise das neueste Sicherheitsupdate Ihres Versionszweigs.

Gehen Sie so vor:

1Backup anlegen. Sichern Sie vorher Dateien und Datenbank. So können Sie im seltenen Fehlerfall jederzeit zurück. Bei laufender Betreuung übernehmen wir das automatisch.

2Automatische Updates prüfen. WordPress verteilt die Korrektur für diese Lücke automatisch. Viele Seiten sind daher schon aktualisiert. Öffnen Sie im Dashboard den Bereich „Aktualisierungen“ und sehen Sie nach, welche Version läuft.

3Aktualisierung starten. Steht das Update bereit, klicken Sie auf „Jetzt aktualisieren“. WordPress spielt automatisch die passende sichere Version für Ihren Zweig ein.

4Version kontrollieren. Prüfen Sie nach dem Update, dass nun 6.8.6, 6.9.5 oder 7.0.2 angezeigt wird. Ein kurzer Klick durch die Seite zeigt, dass alles wie gewohnt funktioniert.

5Plugins und Themes mitnehmen. Aktualisieren Sie bei der Gelegenheit gleich alle Plugins und Ihr Theme. Veraltete Erweiterungen sind die zweithäufigste Eintrittstür nach Kernlücken.

EmpfehlungSchalten Sie automatische Sicherheits-Updates für den WordPress-Kern dauerhaft ein. Dann werden solche kritischen Korrekturen künftig ohne Ihr Zutun eingespielt. Wenn Sie große Versionssprünge planbar und ohne Ausfall gehen möchten, hilft unser Service System-Updates und Upgrades.

Wenn Sie nicht sofort aktualisieren können

Manchmal lässt sich ein Update nicht in der nächsten Minute durchführen, etwa weil eine Abstimmung nötig ist oder eine besondere Konfiguration vorliegt. In diesem Fall sollten Sie das Risiko vorübergehend verkleinern. Wichtig: Diese Maßnahmen sind nur eine Notbremse, kein Ersatz für das Update.

1Schutz davorschalten. Eine Web Application Firewall, also ein Filter vor Ihrer Seite, kann bekannte Angriffsmuster blockieren. Viele Hoster und Dienste wie Cloudflare haben für wp2shell bereits Regeln ausgerollt.^[4]

2Die Batch-Schnittstelle sperren. Als gezielte Notbremse lässt sich der Zugriff auf den Batch-Endpunkt der REST-API unterbinden. Ihr Betreuer oder Hoster kann das serverseitig einrichten, ohne den Rest der Seite zu beeinträchtigen.

3Zugänge im Blick behalten. Achten Sie auf neue, unbekannte Benutzerkonten und ungewöhnliche Aktivität. Wer früh hinschaut, bemerkt einen Zwischenfall schneller.

AchtungWir nennen hier bewusst keine technischen Details der Lücke und keine Beispielangriffe. Verlassen Sie sich nicht dauerhaft auf Zwischenlösungen. Solange WordPress im betroffenen Versionsbereich läuft, bleibt die Tür einen Spalt offen. Das Update ist die einzige echte Lösung.

Schon zu spät? Anzeichen einer Kompromittierung

Falls Ihre Seite länger nicht aktualisiert wurde, lohnt ein prüfender Blick. Diese Anzeichen deuten auf einen möglichen Befall hin:

1Unbekannte Administratoren. In der Benutzerliste tauchen Konten mit Administratorrechten auf, die Sie nicht angelegt haben.

2Neue, fremde Dateien. Im Webspace liegen Dateien mit kryptischen Namen oder an ungewöhnlichen Stellen, oft mit gefälschten Zeitstempeln.

3Fremde Weiterleitungen oder Inhalte. Besucher landen plötzlich auf fremden Seiten, oder in Ihren Beiträgen erscheint Werbung, die Sie nicht eingebaut haben.

4Warnungen von außen. Ihr Hoster meldet „Schadsoftware gefunden“, oder Browser und Suchmaschinen zeigen eine Sicherheitswarnung für Ihre Domain.

Sehen Sie eines dieser Anzeichen, reicht ein einfaches Update nicht mehr aus. Das Update schließt zwar die Tür, es entfernt aber keinen Schadcode, der schon im Haus ist. Nötig ist eine saubere Bereinigung in der richtigen Reihenfolge: zuerst die dauerhaften Zugänge entfernen, dann Schaddateien löschen, dann Passwörter erneuern und erst am Ende das System wieder freigeben. Wenn Sie unsicher sind, übernehmen wir das über unsere Soforthilfe.

Udpate: wp2shell bleibt ein außergewöhnlicher Sicherheitsvorfall

Inzwischen zeigt sich deutlicher, wie außergewöhnlich die Schwachstelle war. Sicherheitsanbieter Wordfence bezeichnet wp2shell als die erste kritische Remote-Code-Execution im WordPress-Kern seit nahezu einem Jahrzehnt, die ohne vorherige Anmeldung ausgenutzt werden konnte.

Damit war wp2shell kein gewöhnlicher Plugin-Sicherheitsfehler: Betroffen war der WordPress-Kern selbst und eine Standardinstallation konnte grundsätzlich ohne zusätzliche Erweiterungen angreifbar sein.

Ihre nächsten Schritte

Prüfen Sie jetzt Ihre WordPress-Version und aktualisieren Sie auf 6.8.6, 6.9.5 oder 7.0.2. Sind Sie unsicher, ob Sie betroffen sind, oder vermuten Sie bereits einen Befall, sollten Sie nicht zögern. Wir übernehmen den Sicherheits-Check und im Ernstfall die Bereinigung. Damit solche Lücken künftig gar nicht erst gefährlich werden, halten wir Ihre Seite mit unserer laufenden Website-Betreuung aktuell.

Website-WartungRundum sicher

ab 79 € / Monat

Wir halten Ihre Seite aktuell, sicher und schnell, damit Sie an Lücken wie wp2shell nie wieder denken müssen. Updates spielen wir ein, bevor sie zum Problem werden.

✓Updates und Sicherheits-Patches für Kern, Plugins und Theme

✓Tägliche Backups und schnelle Wiederherstellung im Notfall

✓Laufendes Sicherheits- und Performance-Monitoring

✓Persönlicher Ansprechpartner, schnelle Hilfe wenn es brennt

Wartung ab 79 €/Monat sichern

Individuelle Pakete für größere Seiten und Shops auf Anfrage.

Häufige Fragen

„Welche WordPress-Version schließt wp2shell?“

Sicher gegen diese Lücke sind die Versionen 6.8.6, 6.9.5, 7.0.2 und alle neueren. Welche davon zu Ihnen passt, hängt von Ihrem WordPress-Zweig ab. WordPress spielt beim Update automatisch die passende Version für Ihre Reihe ein.

Woran erkenne ich, welche WordPress-Version ich habe?

Melden Sie sich im WordPress-Adminbereich an. Unten rechts in der Fußzeile des Dashboards steht die Versionsnummer. Ausführlicher finden Sie sie unter „Werkzeuge“ im Bereich „Website-Zustand“.

Werde ich automatisch aktualisiert?

WordPress behandelt wp2shell als Fall der höchsten Dringlichkeit und verteilt die Korrektur über das automatische Update-System. Viele Seiten sind daher bereits geschützt. Verlassen Sie sich aber nicht blind darauf, sondern prüfen Sie Ihre Version. Wurden automatische Updates früher abgeschaltet, kann Ihre Seite trotzdem offen sein.

Was bedeutet wp2shell genau?

wp2shell ist der Name für eine Verkettung von zwei Lücken im WordPress-Kern: eine SQL-Injection (CVE-2026-60137) und eine Schwäche in der Batch-Schnittstelle der REST-API (CVE-2026-63030). Zusammengeschaltet erlauben sie einem Angreifer, ohne Login Code auszuführen. „Shell“ steht dabei für die Kontrolle über den Server.

Ich nutze eine ältere Version vor 6.8. Bin ich betroffen?

Von dieser konkreten Kette sind Versionen vor 6.8 nicht betroffen. Trotzdem sollten Sie aktualisieren: Ältere WordPress-Versionen haben eigene, teils schwerwiegende Sicherheitslücken und werden nicht mehr voll unterstützt.

Reicht ein Update, wenn meine Seite schon gehackt wurde?

Nein. Ein Update schließt die Lücke, entfernt aber keinen Schadcode, der bereits eingeschleust wurde. Hintertüren bleiben sonst bestehen. In diesem Fall braucht es eine vollständige Bereinigung. Nutzen Sie dafür am besten unsere Soforthilfe.

Wie schnell muss ich handeln?

So schnell wie möglich, am besten heute. Die Lücke ist öffentlich bekannt, eine Machbarkeitsdemonstration kursiert, und solche Kernlücken werden automatisiert und massenhaft ausgenutzt. Zwischen dem Bekanntwerden und den ersten flächendeckenden Angriffen liegen oft nur Stunden.

Passend dazu

Quellen

1WordPress.org: Sicherheitsversion und Update-Hinweise (6.8.6, 6.9.5, 7.0.2)
WordPress-Projekt (Hersteller), offizielle Ankündigung, Juli 2026

2Rapid7: CVE-2026-63030 (wp2shell), kritische Remote-Code-Execution im WordPress-Kern
Rapid7, Sicherheits-Analyse, Juli 2026

3The Hacker News: Neue wp2shell-Kernlücke erlaubt unangemeldeten Angreifern die Code-Ausführung
The Hacker News, Fachbeitrag, Juli 2026

4Cloudflare: WAF-Schutz gegen die beiden WordPress-Lücken (CVE-2026-63030 und CVE-2026-60137)
Cloudflare, technischer Blog, Juli 2026

5/5 - (1 vote)

Florian Konrad

Florian Konrad, Mitbegründer und Geschäftsführer der Unicorn Factory, begann bereits in der Schule mit Webentwicklung und Online-Marketing. Mit Jahren der Erfahrung hat er umfassende Expertise in SEO, Automatisierung und Webentwicklung entwickelt.

Florian Konrad

Diesen Beitrag teilen!