Ein Überblick über die aktuelle Bedrohungslage, Warnsignale und was du jetzt tun solltest

Aktuell wurde eine der schwerwiegendsten WordPress-Sicherheitslücken der letzten Jahre bekannt. Unter dem Namen wp2shell verbreitet, hat sie innerhalb weniger Tage automatisierte Angriffe auf Websites weltweit ausgelöst – auch bei mehreren von uns betreuten Projekten. Wir fassen zusammen, was passiert ist, wie du betroffene Websites erkennst und welche Schritte jetzt wichtig sind.

Was ist wp2shell?

Im Juli 2026 veröffentlichten die Sicherheitsforscher von Searchlight Cyber eine Schwachstellenkette in WordPress Core, die sie wp2shell nannten. Sie besteht aus zwei kombinierten Schwachstellen: einer SQL-Injection-Lücke sowie einer fehlerhaften Verarbeitung der REST-API-Batch-Route. Zusammen ermöglichen sie es Angreifern, ohne jede Anmeldung beliebigen Code auf einer WordPress-Installation auszuführen – ganz ohne Zutun eines Nutzers, ohne kompromittiertes Passwort und unabhängig davon, welche Plugins installiert sind.

Betroffen waren die WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. WordPress reagierte schnell: Bereits erschienen sind die Sicherheitsupdates 6.9.5 und 7.0.2, verbunden mit erzwungenen automatischen Updates für alle betroffenen Installationen aufgrund des Schweregrads.

Das Problem: Automatische Updates greifen nicht auf jeder Website zuverlässig – etwa wenn sie deaktiviert oder durch andere Plugins blockiert sind. Innerhalb weniger Tage kursierten öffentlich zugängliche Angriffswerkzeuge, und Sicherheitsfirmen bestätigten großflächige, automatisierte Ausnutzung der Lücke im Internet.

Warum das so gefährlich ist

Was diese Lücke besonders macht: Sie erforderte keine Fehlkonfiguration, kein schwaches Passwort und keine besondere Nachlässigkeit der Website-Betreiber. Eine Standardinstallation von WordPress ohne zusätzliche Plugins war bereits angreifbar. Laut Sicherheitsanalysen war rund die Hälfte aller untersuchten WordPress-Organisationen zum Zeitpunkt der Veröffentlichung noch verwundbar, ein erheblicher Teil davon mit einer öffentlich erreichbaren, angreifbaren Installation.

Nach erfolgreicher Ausnutzung platzieren Angreifer typischerweise sogenannte Webshells – kleine, unauffällig benannte PHP-Dateien, die ihnen dauerhaften Zugriff auf den Server verschaffen – sowie zusätzliche Administrator-Konten, um sich auch nach einer oberflächlichen Bereinigung wieder Zugang verschaffen zu können.

Woran erkennst du, ob deine Website betroffen war?

Aus der praktischen Bereinigung mehrerer betroffener Websites lassen sich klare Warnsignale ableiten:

Unbekannte Administrator-Konten. Unter „Benutzer → Alle Benutzer“ solltest du prüfen, ob dort ein Account auftaucht, den du nicht selbst angelegt hast – häufig mit kryptischen, automatisiert erzeugten Namen.

Verdächtige Dateien im uploads-Ordner. Der Ordner wp-content/uploads/ sollte ausschließlich Mediendateien enthalten. PHP-Dateien haben dort grundsätzlich nichts zu suchen, unabhängig davon, wie harmlos ihr Name klingt.

Ungewöhnliche Zugriffe in den Server-Logs. Automatisierte Scan-Zugriffe lassen sich oft an technischen Merkmalen wie dem verwendeten User-Agent erkennen – ein Hinweis, dass nicht ein Mensch, sondern ein Skript versucht hat, auf eine Datei zuzugreifen.

Wichtig dabei: Nicht jeder unbekannte Prozess oder Systembenutzer ist automatisch ein Angriffszeichen. Manche Plugins – etwa Elementors Manage-Funktion – legen aus legitimen Gründen eigene Administrator-Konten an. Vor einer Bewertung als Sicherheitsvorfall lohnt sich daher immer eine kurze Recherche, ob es für ein gefundenes Konto oder eine Datei eine harmlose Erklärung gibt.

Was jetzt zu tun ist

1. WordPress-Version prüfen und aktualisieren. Stelle sicher, dass jede von dir betreute Installation mindestens auf Version 7.0.2 beziehungsweise 6.9.5 läuft.
2. Bei Verdacht: nicht vorschnell löschen. Wer eine verdächtige Datei oder einen unbekannten Nutzer findet, sollte diesen vor dem Löschen einordnen – im Zweifel lieber einmal mehr recherchieren oder fachkundigen Rat einholen, bevor gehandelt wird.
3. Nach einer Bereinigung: alle Zugangsdaten erneuern. WordPress-Passwörter, Datenbank-Zugangsdaten, FTP/SFTP-Zugänge und das Hosting-Konto selbst – erst nachdem eingeschleuster Schadcode vollständig entfernt wurde, sonst verschafft sich ein Angreifer über eine verbliebene Hintertür erneut Zugriff.
4. Datenschutz mitdenken. Wurden auf der betroffenen Website personenbezogene Daten verarbeitet – etwa über Formulare, Mitgliederbereiche oder Bestellsysteme – sollte geprüft werden, ob eine Meldepflicht gegenüber der zuständigen Datenschutzbehörde besteht.

Unser Fazit

wp2shell zeigt exemplarisch, wie schnell sich eine kritische Sicherheitslücke von der Entdeckung bis zur breiten automatisierten Ausnutzung entwickeln kann – oft innerhalb weniger Tage. Für alle, die WordPress-Websites betreiben oder betreuen, unterstreicht das die Bedeutung regelmäßiger Updates und einer wachsamen, aber besonnenen Prüfung verdächtiger Funde.

Wenn du unsicher bist, ob eine von uns betreute Website betroffen war: Alle Websites mit laufendem Wartungsvertrag bei Nagaloka Design werden von uns geprüft. Sollte Handlungsbedarf bestehen, melden wir uns direkt bei dir.
Bei Fragen zu deiner Website melde dich gerne bei uns.

Quellen:

• Searchlight Cyber: wp2shell – Pre-Authentication RCE in WordPress Core
• The Hacker News: New wp2shell WordPress Core Flaw Lets Unauthenticated Attackers Run Code
• BleepingComputer: Critical wp2shell WordPress flaws exploited to install webshells
• SecurityWeek: WP2Shell WordPress Vulnerabilities Exploited in the Wild
• Wiz: Exploitation in the Wild of wp2shell
• Rapid7: CVE-2026-63030: wp2shell