Eine kritische WordPress Sicherheitslücke sorgt derzeit bei Website-Betreibern und IT-Sicherheitsverantwortlichen für große Unruhe. Angreifer können verwundbare WordPress-Websites unter bestimmten Voraussetzungen ohne vorherige Anmeldung übernehmen und eigenen Programmcode auf dem Server ausführen.
Das Bundesamt für Sicherheit in der Informationstechnik warnt vor der als „wp2shell“ bezeichneten Angriffsmöglichkeit und bewertet die Bedrohungslage mit Warnstufe 3 von 4, also Orange.
WordPress veröffentlichte am 17. Juli 2026 mehrere Sicherheitsupdates, um zwei Schwachstellen im Kern des weltweit verbreiteten Content-Management-Systems zu schließen. Aufgrund der hohen Gefährdung wurden für betroffene Installationen teilweise erzwungene automatische Aktualisierungen aktiviert. Betreiber sollten sich dennoch nicht darauf verlassen, dass das Update auf jeder Website erfolgreich installiert wurde.
Zwei Schwachstellen bilden eine gefährliche Angriffskette
Die aktuelle Bedrohung basiert auf den Sicherheitslücken CVE-2026-60137 und CVE-2026-63030. Werden beide Schwachstellen miteinander kombiniert, entsteht eine Angriffskette, die Sicherheitsforscher als „wp2shell“ bezeichnen. Der Name beschreibt den möglichen Weg von einem anonymen Zugriff auf die Website bis zur Ausführung von Befehlen auf dem Webserver.
Die erste WordPress Sicherheitslücke betrifft die Verarbeitung des Parameters „author__not_in“ innerhalb von WP_Query. Eingaben werden unter bestimmten Umständen nicht ausreichend bereinigt. Übergibt ein Plugin oder Theme ungeprüfte Benutzereingaben an diesen Parameter, kann eine SQL-Injection möglich werden. Angreifer könnten dadurch unter anderem Informationen aus der WordPress-Datenbank auslesen.
Die zweite Schwachstelle befindet sich in der REST-API von WordPress. Durch eine fehlerhafte Verarbeitung gebündelter API-Anfragen kann sie zusammen mit der SQL-Injection zur Ausführung fremden Codes führen. Für den Angriff ist weder ein bestehendes Benutzerkonto noch eine vorherige Anmeldung erforderlich. Im schlimmsten Fall erhält der Angreifer die vollständige Kontrolle über die Website und den dazugehörigen Webspace.
Welche WordPress-Versionen sind betroffen?
Von der SQL-Injection-Schwachstelle sind WordPress 6.8.0 bis 6.8.5, WordPress 6.9.0 bis 6.9.4 sowie WordPress 7.0.0 und 7.0.1 betroffen. Die vollständige wp2shell-Angriffskette betrifft jedoch nur die Versionszweige 6.9 und 7.0. WordPress-Versionen vor 6.8 sind laut offizieller Sicherheitsmeldung nicht betroffen.
Abgesichert sind die Versionen WordPress 6.8.6, 6.9.5 und 7.0.2. Während Version 6.8.6 die dort vorhandene SQL-Injection-Lücke schließt, enthalten WordPress 6.9.5 und 7.0.2 Korrekturen für beide Schwachstellen. Für die Beta-Version von WordPress 7.1 wurde ebenfalls eine aktualisierte Testversion veröffentlicht. Beta-Versionen sollten grundsätzlich nicht auf produktiven Unternehmenswebsites eingesetzt werden.
► WordPress Marktanteil im Vergleich
Öffentliche Informationen erhöhen den Handlungsdruck
Nach der Veröffentlichung der Sicherheitsupdates wurden innerhalb kurzer Zeit technische Informationen und erste Machbarkeitsnachweise bekannt. Sobald ausreichend Details öffentlich verfügbar sind, können auch weniger erfahrene Angreifer bestehende Angriffsmethoden anpassen und automatisiert nach ungepatchten Websites suchen.
Die Entdeckung der Schwachstelle zeigt zugleich, welche Rolle künstliche Intelligenz künftig in der IT-Sicherheit spielen kann. Das Sicherheitsunternehmen Searchlight Cyber erklärte, bei der Untersuchung des WordPress-Codes durch GPT-5 unterstützt worden zu sein. Die KI half dabei, verdächtige Zusammenhänge im Programmcode zu erkennen. Die anschließende Bewertung und verantwortungsvolle Meldung erfolgten durch Sicherheitsforscher.
Was Website-Betreiber jetzt prüfen sollten
Betreiber sollten sich zunächst im WordPress-Dashboard anmelden und unter „Aktualisierungen“ kontrollieren, welche Version installiert ist. Bei einer verwundbaren Version muss das Sicherheitsupdate unverzüglich eingespielt werden. Vor der Aktualisierung empfiehlt sich eine vollständige Sicherung der Dateien und der Datenbank. Anschließend sollte geprüft werden, ob Website, Formulare, Shopfunktionen und Schnittstellen weiterhin ordnungsgemäß arbeiten.
Wurde die Website nicht rechtzeitig aktualisiert, reicht das nachträgliche Einspielen des Updates möglicherweise nicht aus. Betreiber sollten zusätzlich nach Hinweisen auf eine Kompromittierung suchen. Dazu gehören neu angelegte Administratorkonten, unbekannte Dateien, veränderte PHP-Dateien, ungewöhnliche REST-API-Aufrufe, verdächtige Weiterleitungen oder auffällige Anmeldeversuche.
Besteht ein konkreter Verdacht, sollten sämtliche WordPress-Passwörter, Datenbank-Zugangsdaten, Hosting-Passwörter und Sicherheitsschlüssel geändert werden. Eine reine Änderung des Administratorpassworts genügt nicht, wenn Angreifer bereits Dateien manipuliert oder eine dauerhafte Hintertür eingerichtet haben. In solchen Fällen ist eine professionelle Analyse oder die Wiederherstellung aus einer nachweislich sauberen Sicherung erforderlich.
Professionelle Wartung reduziert das Risiko
Die aktuelle WordPress Sicherheitslücke verdeutlicht, dass eine Unternehmenswebsite dauerhaft betreut werden muss. WordPress, Themes und Plugins entwickeln sich kontinuierlich weiter. Gleichzeitig werden immer wieder neue Schwachstellen entdeckt, die zeitnah geschlossen werden müssen.
Ein professioneller Anbieter überwacht verfügbare Sicherheitsupdates, führt Aktualisierungen zuverlässig durch und kontrolliert anschließend die wichtigsten Funktionen der Website. Regelmäßige Backups, technische Überwachung und eine schnelle Reaktion auf Sicherheitswarnungen reduzieren das Risiko von Ausfällen, Datenverlust und kostspieligen Angriffen erheblich.
Unternehmen müssen sich dadurch nicht selbst täglich mit neuen Sicherheitsmeldungen, Versionsnummern und möglichen Angriffsspuren beschäftigen. Sie können sich auf ihr Geschäft konzentrieren, während die technische Betreuung dafür sorgt, dass die Website aktuell, erreichbar und möglichst sicher bleibt.
