Seit Mitte Juli läuft eine der grössten Angriffswellen gegen WordPress seit Jahren. Auslöser ist eine Schwachstellenkette im WordPress-Kern, die unter dem Namen «wp2shell» bekannt wurde: Angreifer können damit ohne Login, ohne Plugin und ohne jedes Zutun des Betreibers eigenen Code auf dem Webserver ausführen. Die Sicherheitsupdates gibt es seit dem 17. Juli 2026 — wer sie bis heute nicht eingespielt hat, wird derzeit automatisiert und im Minutentakt abgeklopft. Und wer sie erst jetzt einspielt, sollte wissen: Ein Update schliesst zwar die Lücke, entfernt aber keine Hintertür, die vorher schon gelegt wurde.
Was wp2shell genau ist: Die Angriffskette kombiniert zwei Fehler im WordPress-Kern. CVE-2026-63030 ist eine Verwechslung im Batch-Endpunkt der REST-API (/wp-json/batch/v1) — durch eine gezielt fehlerhafte Sammelanfrage landet eine Teilanfrage beim falschen Handler und umgeht so die Berechtigungsprüfung. CVE-2026-60137 ist eine SQL-Injection, weil ein Abfrageparameter nur dann sauber geprüft wird, wenn er als Zahlen-Array übergeben wird — als Zeichenkette rutscht er ungefiltert in die Datenbankabfrage. Verkettet führt beides von einer anonymen Anfrage bis zur Codeausführung. Es braucht kein Plugin, keine besondere Konfiguration und keine Benutzerinteraktion: Eine Standard-Installation genügt. Es ist die erste kritische, unauthentifizierte Lücke dieser Art im WordPress-Kern seit fast einem Jahrzehnt.
Betroffen sind diese Versionen: WordPress 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1 sind für die vollständige Angriffskette anfällig. Die Reihe 6.8.0 bis 6.8.5 enthält nur die SQL-Injection, nicht die komplette Kette. Behoben sind die Lücken in 6.8.6, 6.9.5 und 7.0.2, veröffentlicht am 17. Juli 2026. Das WordPress-Sicherheitsteam hat die Updates zusätzlich als erzwungene automatische Aktualisierung ausgerollt — allerdings nur dort, wo automatische Updates überhaupt aktiviert sind. Genau das ist bei vielen gewachsenen Firmen-Websites mit angepassten Themes nicht der Fall.
Wie schnell die Angriffe kamen: Noch am Abend der Veröffentlichung, um 23:29 Uhr UTC, wurde die WordPress-REST-API systematisch abgetastet; 13 Minuten später folgte der erste eindeutige SQL-Injection-Versuch. Über das Wochenende kursierten funktionsfähige Exploits öffentlich, seither läuft flächendeckendes Massenscanning. Wer eine verwundbare Website betreibt, muss nicht damit rechnen, gezielt ins Visier zu geraten — er wird ohnehin gefunden.
Was die Angreifer hinterlassen: Beobachtet wurden PHP-Webshells in ganz unterschiedlichen Ausbaustufen — von der unscheinbaren Einzeiler-Hintertür bis zur rund 150 Kilobyte grossen, verschleierten Shell mit Dateimanager, Datenbankzugriff und Rechteausweitung, die sich als harmloses Plugin tarnt. Ebenfalls dokumentiert: ein bösartiges Plugin, das einen eigenen REST-Endpunkt mit absichtlich lascher Rechteprüfung registriert und darüber base64-kodierte Befehle entgegennimmt. Dazu kommen heimlich angelegte Administratorkonten, das Auslesen von Benutzernamen und E-Mail-Adressen sowie Versuche, die wp-config.php auszulesen. Letzteres wiegt besonders schwer: In dieser Datei stehen die Datenbank-Zugangsdaten und die Sicherheitsschlüssel im Klartext.
Wie die Lage aktuell aussieht: Eine Ende Juli erhobene Stichprobe von 124'580 Websites kam auf eine Patchrate von 81,6 Prozent — rund jede fünfte gemessene Installation war also noch offen. Hochgerechnet auf die Verbreitung von WordPress bleibt das eine gewaltige Angriffsfläche. Bislang wirken die Angriffe überwiegend opportunistisch; Datenabfluss oder eine Ausbreitung auf benachbarte Systeme wurden bisher nicht breit beobachtet. Das ist allerdings kein Grund zur Entwarnung: Erbeutete Zugänge werden erfahrungsgemäss gesammelt, weiterverkauft und erst Wochen später für Spamversand, Phishing-Seiten, SEO-Schadcode oder Verschlüsselungsangriffe genutzt.
Woran Sie einen Einbruch erkennen: Prüfen Sie die Webserver-Logs auf Zugriffe auf /wp-json/batch/v1 beziehungsweise rest_route=/batch/v1, auf auffällige HTTP-207-Antworten sowie auf die Kennungen «wp2shell» und «rezwp2shell» im User-Agent. Kontrollieren Sie ausserdem die Benutzerliste auf unbekannte Administratorkonten, die Plugin-Liste auf Einträge, die niemand installiert hat, Plugin-Uploads über /wp-admin/update.php sowie das Dateisystem auf PHP-Dateien, deren Änderungsdatum nicht zu Ihren eigenen Arbeiten passt. Findet sich auch nur einer dieser Punkte, gehört die Website als kompromittiert behandelt.
Der wichtigste Punkt: Aktualisieren ist nicht dasselbe wie bereinigen. Wurde eine Website vor dem Update übernommen, bleibt die Hintertür nach dem Update bestehen — sie funktioniert unabhängig von der geschlossenen Lücke weiter. Genauso müssen alle Zugangsdaten als kompromittiert gelten, die auf dem Server lagen: Datenbankpasswort, Sicherheitsschlüssel in der wp-config.php, FTP- und Administratorzugänge.
Wir bereinigen kompromittierte Websites: Genau dafür gibt es unseren Service «Hack- & Malware-Bereinigung». Wir analysieren Logs und Dateisystem, entfernen Webshells, Schad-Plugins und untergeschobene Konten, schliessen das Einfallstor, tauschen sämtliche Zugangsdaten und Sicherheitsschlüssel aus und härten das System anschliessend gegen erneute Angriffe. Das geschieht diskret, ohne Datenverlust und mit einem nachvollziehbaren Bericht darüber, was gefunden und was unternommen wurde. Damit es kein zweites Mal so weit kommt, übernehmen wir auf Wunsch mit einem Wartungsvertrag die laufenden Updates, geprüfte Backups und das Monitoring Ihrer Website.
Unsicher, ob Ihre Website betroffen ist? Melden Sie sich — telefonisch oder über das Kontaktformular. Wir schauen uns Ihre Installation an und sagen Ihnen ehrlich, ob alles sauber ist oder Handlungsbedarf besteht. Eine erste Einschätzung ist unverbindlich.