Vor wenigen Tagen habe ich hier über das Sicherheitsupdate WordPress 7.0.2 geschrieben. Seither hat sich die Lage verschärft: Mehrere Sicherheitsfirmen bestätigen inzwischen, dass die zugrundeliegende Lücke – inzwischen unter dem Namen „wp2shell“ bekannt – aktiv ausgenutzt wird [TechCrunch]. Wer noch nicht aktualisiert hat, sollte das jetzt nicht mehr aufschieben.
Was wp2shell eigentlich ist
Der Sicherheitsforscher Adam Kues von Searchlight Cyber hat zwei Schwachstellen entdeckt, die sich miteinander verketten lassen: CVE-2026-63030, ein Logikfehler in der REST-API-Batch-Verarbeitung von WordPress, und CVE-2026-60137, eine SQL-Injection-Lücke. Zusammen erlauben sie einem anonymen Angreifer – ganz ohne Login – die vollständige Übernahme einer WordPress-Installation [Wordfence]. Wordfence nennt es „die erste kritische, unauthentifizierte Remote-Code-Execution-Lücke im WordPress-Core seit fast einem Jahrzehnt“.
Wer betroffen ist
Betroffen sind WordPress 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1 [WordPress.org]. Behoben ist die Lücke in 6.9.5 und 7.0.2, ältere unterstützte Linien wie 6.8.x haben ebenfalls einen passenden Patch bekommen. Laut TechCrunch laufen weltweit noch mehrere zehn Millionen Websites auf einer verwundbaren Version – eine Stichprobe von rund 4.200 Seiten ergab, dass knapp 15 % davon noch nicht aktualisiert waren [TechCrunch].
Warum „es wird schon nicht so schlimm sein“ hier nicht gilt
Innerhalb weniger Stunden nach der Veröffentlichung am 17. Juli 2026 tauchten bereits öffentliche Proof-of-Concept-Exploits auf. Mehrere Sicherheitsfirmen – darunter Patchstack, Hexastrike und WatchTowr – melden aktive Massenscans und echte Angriffe [TechCrunch]. Die US-Behörde CISA hat beide CVEs am 21. Juli 2026 in ihren Known-Exploited-Vulnerabilities-Katalog aufgenommen, was in den USA für Bundesbehörden eine Updatepflicht bis 24. Juli auslöst. Für uns in Österreich, Deutschland und der Schweiz gilt diese Frist zwar nicht direkt, sie zeigt aber, wie ernst die Lage von Sicherheitsseite aus eingeschätzt wird.
Was du jetzt tun solltest
- Im Dashboard unter „Aktualisierungen“ prüfen, ob wirklich 7.0.2 (oder mindestens 6.9.5 bzw. 6.8.6) installiert ist – nicht nur davon ausgehen, weil Auto-Updates aktiv sind.
- Falls noch eine ältere Version läuft: sofort aktualisieren, nicht bis zum nächsten Wartungstermin warten.
- Zugriffs-Logs auf ungewöhnliche Anfragen an
/wp-json/batch/v1prüfen (oder prüfen lassen), falls das Update erst jetzt erfolgt. - Wenn möglich, eine Web Application Firewall wie das Cloudflare-WAF oder ein Sicherheits-Plugin einsetzen – Cloudflare blockt laut eigenen Angaben bereits einen Teil der Angriffe automatisch [TechCrunch].
Ich bekomme in solchen Situationen regelmäßig die Frage, ob ein Zwangs-Update von WordPress.org nicht reicht. Reicht es meistens, ja – aber „meistens“ ist eben nicht „immer“, und gerade bei einer Lücke, die schon aktiv ausgenutzt wird, würde ich mir die Zeit nehmen, das selbst einmal nachzuschauen. Bei meinen Wartungskunden ist genau das der Grund, warum ich nach solchen Releases nicht nur automatisiert update, sondern auch händisch nachsehe.
Mehr Hintergrund zum ursprünglichen Sicherheitsupdate findest du in meinem Beitrag WordPress 7.0.2: Kritisches Sicherheitsupdate – jetzt installieren.
Häufige Fragen
Ich habe Auto-Updates aktiviert, muss ich trotzdem etwas tun?
WordPress.org hat für die betroffenen Versionen Zwangs-Updates aktiviert, das sollte in den meisten Fällen greifen. Ein kurzer Blick ins Dashboard schadet trotzdem nicht, gerade bei einer Lücke, die aktiv ausgenutzt wird.
Woran erkenne ich, ob meine Seite bereits kompromittiert wurde?
Auffällige Einträge in den Server-Logs rund um /wp-json/batch/v1, unbekannte Admin-Accounts oder veränderte Dateien sind erste Warnzeichen. Im Zweifel lohnt sich eine Malware-Prüfung, bevor du einfach nur das Update einspielst.
Betrifft mich das, wenn ich WordPress 6.7 oder älter nutze?
Nein, laut offiziellen Angaben sind nur die Versionslinien 6.8, 6.9 und 7.0 (sowie die 7.1-Beta) betroffen. Eine so alte, nicht mehr unterstützte Version bringt aber eigene Risiken mit sich, unabhängig von dieser konkreten Lücke.
Wenn du gerade unsicher bist, ob dein WordPress wirklich sauber aktualisiert ist, oder ob deine Seite in den letzten Tagen angegriffen wurde: Genau für solche Fälle gibt es meine WordPress-Notfall-Soforthilfe. Für die laufende Betreuung schau dir gerne meine WordPress-Wartung an, oder schreib mir direkt.