Wenn Sie eine WordPress-Website betreiben, betrifft Sie diese Meldung direkt. Am 17. und 18. Juli 2026 wurde eine kritische Sicherheitslücke im WordPress-Kern bekannt. Sie trägt den Namen wp2shell. Über sie können Fremde ohne Login die Kontrolle über eine Website übernehmen. Das WordPress-Projekt stuft den Fall in seine höchste Dringlichkeitsstufe ein und verteilt die Korrektur automatisch an betroffene Seiten.[1]
Betroffen sind die WordPress-Versionen 6.8 bis 7.0.1. Die sicheren Versionen heißen 6.8.6, 6.9.5 und 7.0.2. Wer noch nicht auf einer dieser Versionen ist, sollte heute aktualisieren. Wie Sie Ihre Version prüfen und sicher updaten, lesen Sie hier.
Ist Ihre Seite betroffen? Jetzt in 10 Sekunden prüfen
Adresse eingeben. Wir lesen die WordPress-Version aus und sagen Ihnen sofort, ob Sie auf dem sicheren Stand sind, oder ob Sie dringend handeln sollten.
Kostenlos, keine Anmeldung, Ergebnis sofort
Worum geht es?
wp2shell ist keine Lücke in einem Plugin oder Theme, sondern im Kern von WordPress selbst. Das macht sie besonders ernst, denn WordPress ist das mit Abstand am weitesten verbreitete System für Websites. Wo eine Kernlücke aufgeht, sind auf einen Schlag sehr viele Seiten angreifbar.
Technisch besteht wp2shell aus zwei einzelnen Schwachstellen, die zusammengeschaltet werden. Fachleute vergeben dafür sogenannte CVE-Nummern, das sind weltweit eindeutige Kennungen für Sicherheitslücken:
- CVE-2026-60137 (SQL-Injection, hoch): Über eine manipulierte Anfrage lässt sich eine Datenbankabfrage verändern. So kommt ein Angreifer an Daten oder schiebt eigene Werte in die Datenbank.
- CVE-2026-63030 (Fernausführung, kritisch): Eine Schwäche in der Batch-Schnittstelle der WordPress-Programmierschnittstelle (REST-API) erlaubt es, die erste Lücke ohne Login auszulösen. Am Ende steht die Ausführung von fremdem Code auf dem Server.[2]
Zur genauen Einordnung: Die komplette Angriffskette bis zur Code-Ausführung betrifft die Versionen 6.9.0 bis 7.0.1, denn die Batch-Schwäche existiert erst ab WordPress 6.9. Die 6.8er-Reihe ist von der SQL-Injection betroffen und braucht das Update auf 6.8.6 genauso dringend.
Die Batch-Schnittstelle ist eigentlich eine praktische Funktion: Sie bündelt mehrere Anfragen zu einem Paket. Genau an dieser Stelle wird eine Prüfung übersprungen, wenn man ihr die Daten in einer unerwarteten Form übergibt. Dadurch greifen die beiden Lücken ineinander. „Ohne Login“ heißt: Der Angreifer braucht weder ein Benutzerkonto noch ein Passwort. Wir gehen hier bewusst nur auf hoher Ebene darauf ein. Eine Anleitung zum Ausnutzen der Lücke finden Sie in diesem Beitrag nicht.
Bin ich betroffen?
Die Frage lässt sich klar beantworten. Entscheidend ist Ihre WordPress-Version. Betroffen sind alle Installationen in diesen Bereichen: 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Versionen vor 6.8 sind von dieser Lücke nicht betroffen, sollten aus anderen Gründen aber ohnehin längst aktualisiert sein.[2]
Die folgende Tabelle zeigt, welche sichere Version zu Ihrem WordPress-Zweig gehört:
| Ihr WordPress-Zweig | Betroffen | Sichere Version |
|---|---|---|
| 6.8er-Reihe | 6.8.0 bis 6.8.5 | 6.8.6 |
| 6.9er-Reihe | 6.9.0 bis 6.9.4 | 6.9.5 |
| 7.0er-Reihe | 7.0.0 bis 7.0.1 | 7.0.2 |
So prüfen Sie Ihre Version
Ihre WordPress-Version steht im Adminbereich. Melden Sie sich im WordPress-Dashboard an. Unten rechts in der Fußzeile des Dashboards wird die Versionsnummer angezeigt. Ausführlicher finden Sie sie unter „Werkzeuge“ und dort im „Website-Zustand“. Liegt Ihre Nummer im betroffenen Bereich, müssen Sie handeln.
Was im Ernstfall passiert
Eine Lücke, über die sich Code ohne Login ausführen lässt, ist deshalb so kritisch, weil Angreifer damit dauerhaft Fuß fassen können. Typischerweise passiert eines oder mehreres davon:
- Hintertür (Backdoor): ein verstecktes Programm, das dem Angreifer auch später noch heimlichen Zugriff gibt, selbst nach einem Update.
- Webshell: eine getarnte Datei, über die Befehle auf dem Server ausgeführt werden, oft als harmlose Datei maskiert.
- Datenabfluss: Über die SQL-Injection lassen sich Inhalte der Datenbank auslesen, etwa Benutzerkonten.
- Spam und Weiterleitungen: Ihre Seite verschickt unbemerkt Massen-E-Mails oder leitet Besucher auf fremde Seiten um. Das schadet Ihrem Ruf.
- Blacklisting: Suchmaschinen und Browser stufen Ihre Seite als gefährlich ein und warnen Besucher. Das kostet Sichtbarkeit und Vertrauen.
Gründer & Ihr Ansprechpartner
Unsere Full-Service-Agentur kann Ihnen bei Fragen und der Umsetzung zur Seite stehen. Zögern Sie nicht, uns zu kontaktieren. Wir freuen uns darauf, von Ihnen zu hören.
Jetzt einfach Kontakt aufnehmenJetzt updaten: Schritt für Schritt
Das Update ist in den allermeisten Fällen unkompliziert und in wenigen Minuten erledigt. Ziel ist eine der sicheren Versionen 6.8.6, 6.9.5 oder 7.0.2. Gehen Sie so vor:
Wenn Sie nicht sofort aktualisieren können
Manchmal lässt sich ein Update nicht in der nächsten Minute durchführen, etwa weil eine Abstimmung nötig ist oder eine besondere Konfiguration vorliegt. In diesem Fall sollten Sie das Risiko vorübergehend verkleinern. Wichtig: Diese Maßnahmen sind nur eine Notbremse, kein Ersatz für das Update.
Schon zu spät? Anzeichen einer Kompromittierung
Falls Ihre Seite länger nicht aktualisiert wurde, lohnt ein prüfender Blick. Diese Anzeichen deuten auf einen möglichen Befall hin:
Sehen Sie eines dieser Anzeichen, reicht ein einfaches Update nicht mehr aus. Das Update schließt zwar die Tür, es entfernt aber keinen Schadcode, der schon im Haus ist. Nötig ist eine saubere Bereinigung in der richtigen Reihenfolge: zuerst die dauerhaften Zugänge entfernen, dann Schaddateien löschen, dann Passwörter erneuern und erst am Ende das System wieder freigeben. Wenn Sie unsicher sind, übernehmen wir das über unsere Soforthilfe.
Ihre nächsten Schritte
Prüfen Sie jetzt Ihre WordPress-Version und aktualisieren Sie auf 6.8.6, 6.9.5 oder 7.0.2. Sind Sie unsicher, ob Sie betroffen sind, oder vermuten Sie bereits einen Befall, sollten Sie nicht zögern. Wir übernehmen den Sicherheits-Check und im Ernstfall die Bereinigung. Damit solche Lücken künftig gar nicht erst gefährlich werden, halten wir Ihre Seite mit unserer laufenden Website-Betreuung aktuell.
Wir halten Ihre Seite aktuell, sicher und schnell, damit Sie an Lücken wie wp2shell nie wieder denken müssen. Updates spielen wir ein, bevor sie zum Problem werden.
Individuelle Pakete für größere Seiten und Shops auf Anfrage.
Häufige Fragen
Welche WordPress-Version ist jetzt sicher?
Woran erkenne ich, welche WordPress-Version ich habe?
Werde ich automatisch aktualisiert?
Was bedeutet wp2shell genau?
Ich nutze eine ältere Version vor 6.8. Bin ich betroffen?
Reicht ein Update, wenn meine Seite schon gehackt wurde?
Wie schnell muss ich handeln?
Passend dazu
- Website-Betreuung und Pflege: Updates, Sicherheit, Support
- WordPress: professionelle Websites, sicher umgesetzt
Quellen
WordPress-Projekt (Hersteller), offizielle Ankündigung, Juli 2026
Rapid7, Sicherheits-Analyse, Juli 2026
The Hacker News, Fachbeitrag, Juli 2026
Cloudflare, technischer Blog, Juli 2026
