wp2shell: Angreifer übernehmen WordPress ohne Login – so schützen Sie Ihre Website

Es ist der Albtraum jedes Website-Betreibers: Ein Angreifer übernimmt die komplette Website – ohne Passwort, ohne Klick des Opfers, einfach so über das Internet. Genau das ermöglicht eine Schwachstelle, die unter dem Namen wp2shell bekannt geworden ist und derzeit aktiv ausgenutzt wird. Betroffen ist nicht ein einzelnes Plugin, sondern der Kern von WordPress selbst.

Wir erklären ruhig und ohne Panikmache, was dahintersteckt, wer betroffen ist – und was Sie jetzt konkret tun sollten.

Was ist wp2shell?

„wp2shell“ ist kein Virus und kein einzelner Fehler, sondern der Name für eine Kette aus zwei Schwachstellen im WordPress-Core, die zusammen besonders gefährlich werden:

• CVE-2026-60137 – eine SQL-Injection in der REST-API (im Parameter author__not_in des Beitrags-Endpunkts). Über sie lassen sich Daten aus der Datenbank abgreifen bzw. manipulieren.
• CVE-2026-63030 – eine Remote-Code-Execution (RCE) über den Batch-Endpunkt der REST-API (/wp-json/batch/v1). Über sie lässt sich eigener Programmcode auf dem Server ausführen.

Einzeln sind beide schon ernst. Verkettet ergeben sie das Worst-Case-Szenario: Ein Angreifer kann ohne gültigen Account und ohne jede Nutzerinteraktion beliebigen Code auf dem Server ausführen und die Website vollständig übernehmen. Der Name „wp2shell“ beschreibt genau das – vom offenen WordPress bis zur „Shell“, also der vollen Kontrolle über den Server.

Warum die Lücke so gefährlich ist

Nicht jede Sicherheitslücke ist gleich kritisch. Bei wp2shell kommen mehrere Faktoren zusammen, die sie zu einem der schwerwiegendsten WordPress-Vorfälle seit Langem machen:

• Keine Vorbedingungen. Der Angriff funktioniert anonym, ohne Login und ohne dass jemand auf einen Link klicken muss.
• Trifft den Standard. Selbst eine frische WordPress-Installation ganz ohne zusätzliche Plugins ist verwundbar – es liegt am Kern.
• Vollständige Übernahme. Am Ende steht Remote-Code-Execution, also die komplette Kontrolle über Website und Server – inklusive aller Kunden- und Zugangsdaten.
• Wird aktiv ausgenutzt. Kurz nach Bekanntwerden tauchten öffentliche Exploits auf, und Angreifer nutzen die Lücke bereits in freier Wildbahn. Die US-Behörde CISA hat beide Schwachstellen in ihren Katalog aktiv ausgenutzter Lücken (KEV) aufgenommen.

Beobachtet wird vor allem das Einschleusen von Webshells – kleinen Hintertüren, die dem Angreifer dauerhaften Zugriff geben. Diese reichen von simplen PHP-Einzeilern bis zu aufwendig getarnten Varianten, die sich als harmloses Plugin ausgeben. Das Tückische daran: Ein solcher Webshell bleibt auch nach einem Update aktiv. Wer nur aktualisiert, aber nicht bereinigt, lässt die Tür also weiter offen.

Wer ist betroffen?

Betroffen sind laut den Sicherheitsmeldungen die folgenden WordPress-Versionen:

• 6.9.0 bis 6.9.4
• 7.0.0 bis 7.0.1

Wenn Sie nicht sicher sind, welche Version Sie einsetzen, finden Sie das im WordPress-Backend unten rechts im Dashboard oder unter Dashboard → Aktualisierungen.

Das müssen Sie jetzt tun

Die gute Nachricht: Es gibt bereits einen Patch. Handeln Sie trotzdem sofort.

1. Sofort aktualisieren. Bringen Sie WordPress auf die gepatchte Version – 6.9.5 bzw. 7.0.2. WordPress hat den Fix zusätzlich in ältere Zweige zurückportiert und wegen der Schwere erzwungene automatische Sicherheitsupdates ausgelöst. Prüfen Sie dennoch aktiv, dass Ihre Seite tatsächlich auf der neuen Version läuft.
2. Backup vor dem Update. Legen Sie – wie immer – zuerst ein vollständiges Backup an, damit Sie im Ernstfall einen sauberen Stand haben.
3. Angriffsfläche vorübergehend verkleinern. Wo ein sofortiges Update nicht möglich ist, sollte der Endpunkt /wp-json/batch/v1 über eine Web Application Firewall (WAF) blockiert bzw. der anonyme Zugriff auf die REST-API eingeschränkt werden. Das ist eine Notmaßnahme, kein Ersatz für das Update.
4. Prüfen, ob schon jemand da war. Kontrollieren Sie Ihre Seite auf Anzeichen einer Kompromittierung (siehe nächster Abschnitt).

Woran Sie einen Angriff erkennen

Weil die Lücke bereits ausgenutzt wird, reicht das Update allein nicht – Sie sollten prüfen, ob Ihre Seite vor dem Update bereits kompromittiert wurde. Typische Warnzeichen:

• Unbekannte Plugins, die Sie nie installiert haben (Webshells tarnen sich gern als Plugin).
• Neue Administrator-Konten, die Sie nicht angelegt haben.
• Verdächtige Dateien im Verzeichnis /cache/ oder anderen ungewöhnlichen Orten.
• Auffällige Anfragen an /wp-json/batch/v1 in den Server- bzw. Zugriffs-Logs.
• Unerklärliche Änderungen an Dateien, Weiterleitungen oder Spam-Inhalte auf der Seite.

Finden Sie eines dieser Zeichen, gehen Sie von einer Kompromittierung aus und handeln Sie entsprechend.

Was tun, wenn Ihre Seite bereits betroffen ist?

Ein reines Update genügt hier nicht – die eingeschleuste Hintertür bleibt sonst bestehen. Der saubere Weg:

1. Aus einem sauberen Backup wiederherstellen, das nachweislich von vor dem Angriff stammt.
2. Alle Zugangsdaten ändern – WordPress-Admins, Datenbank, FTP/SSH und Hosting-Login.
3. Schadcode und unbekannte Konten restlos entfernen, falls kein sauberes Backup vorhanden ist.
4. Erst dann auf die aktuelle, gepatchte Version aktualisieren und die Seite absichern (Hardening).

Wenn Sie sich dabei unsicher sind: Genau diese Bereinigung und Absicherung übernehmen wir für Sie – schnell und ohne Rätselraten.

So schützt Sie eine laufende Betreuung

Der eigentliche Punkt bei wp2shell ist nicht diese eine Lücke – es ist das Zeitfenster. Zwischen dem Bekanntwerden einer kritischen Schwachstelle und den ersten automatisierten Angriffen liegen oft nur Stunden. Wer erst am nächsten Wochenende updatet, hat verloren.

Bei einer laufenden WordPress-Betreuung passiert genau das nicht:

• Sicherheitsupdates werden umgehend eingespielt – getestet und überwacht, nicht irgendwann.
• Monitoring erkennt Ausfälle und Auffälligkeiten frühzeitig.
• Tägliche Backups sorgen dafür, dass im Ernstfall ein sauberer Stand bereitsteht.
• Im Angriffsfall ist jemand da, der die Seite in Minuten wiederherstellt, statt Sie mit dem Problem allein zu lassen.

Genau dafür gibt es WordPress-Wartung und Sicherheit aus einer Hand.

Fazit

wp2shell ist ein Weckruf: Selbst eine gepflegte Standard-WordPress-Seite kann über den eigenen Core angreifbar sein. Das Wichtigste ist jetzt Tempo – sofort auf 6.9.5 bzw. 7.0.2 aktualisieren, prüfen, ob bereits jemand da war, und im Zweifel aus einem sauberen Backup wiederherstellen. Und danach die Frage ehrlich beantworten: Wer kümmert sich beim nächsten Mal um genau dieses Zeitfenster?

Sie sind unsicher, ob Ihre Website betroffen oder bereits kompromittiert ist? Fordern Sie einen kostenlosen Website-Check an – wir schauen für Sie nach.