WordPress: wp2shell-Lücke gefährdet 500 Millionen Websites
Veröffentlicht am: 18.07.2026 um 12:32 Uhr | Redaktion boerse-global.de
Ein schwerwiegender Fehler im WordPress-Core gefährdet über 500 Millionen Websites weltweit. Die Entwickler reagierten mit einem Notfall-Patch.
Am 17. Juli 2026 veröffentlichten die WordPress-Entwickler dringende Sicherheitsupdates. Grund ist die als wp2shell bekannte Schwachstelle, die einen unbefugten Zugriff auf Server ermöglicht. Betroffen sind alle Installationen der Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Die Patches in den Versionen 6.9.5 und 7.0.2 schließen das Leck. Für viele Systeme wurden automatische Updates aktiviert, um die Lücke schnell zu schließen.
Zwei Schwachstellen in einer
Der wp2shell-Exploit basiert auf einer Kombination zweier Sicherheitslücken. Die erste ist eine SQL-Injection mit der Kennung CVE-2026-60137 – der Schweregrad liegt bei 9,1 von 10 möglichen Punkten. Die zweite, CVE-2026-63030, ist ein sogenannter Batch-Route-Confusion-Fehler mit einem Wert von 7,5.
Der Angriffspunkt ist der REST-API-Endpunkt /wp-json/batch/v1. Ein Angreifer kann ohne vorherige Authentifizierung beliebigen Code auf dem Server ausführen. Voraussetzung: Es darf kein persistenter Objekt-Cache aktiv sein. Bislang gibt es keine Hinweise auf tatsächliche Angriffe oder einen öffentlich verfügbaren Exploit.
Während WordPress-Lücken oft Webserver bedrohen, nehmen Cyberkriminelle auch immer häufiger gezielt die Schwachstellen in Unternehmen ins Visier. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um sich proaktiv abzusichern. Aktuelle Cyber Security Trends jetzt kostenlos herunterladen
Dringende Handlungsempfehlungen
Administratoren mit manuellen Installationen sollten sofort auf Version 6.9.5 oder 7.0.2 aktualisieren. Falls das nicht möglich ist, empfehlen Sicherheitsexperten mehrere Schutzmaßnahmen:
- Eine Web Application Firewall (WAF) sollte Anfragen an die gefährdeten Endpunkte blockieren
- Alternativ kann die REST-API komplett deaktiviert werden
- Spezielle Drop-In-Plugins können den Batch-Endpunkt absichern
Ein Prüf-Tool wurde unter wp2shell.com eingerichtet – die Seite war in den ersten Stunden nach der Veröffentlichung zeitweise nicht erreichbar.
Schwache Woche für die IT-Sicherheit
Die wp2shell-Offenlegung fällt in eine Woche voller Sicherheitsupdates. Erst Anfang der Woche hatte Microsoft im Juli-Patch-Tuesday 722 Schwachstellen behoben, darunter 427 im Chromium-Projekt.
Nicht nur Serveranwendungen, sondern auch die tägliche Kommunikation ist ein beliebtes Ziel für komplexe Cyberangriffe wie Phishing oder CEO-Fraud. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam schützen kann, bevor kritische Daten abfließen. Kostenloses Anti-Phishing-Paket für Unternehmen sichern
Parallel dazu stufte die US-Sicherheitsbehörde CISA eine kritische SharePoint-Lücke (CVE-2026-58644) als aktiv ausgenutzt ein. Der Fehler mit einem CVSS-Wert von 9,8 wurde am 14. Juli 2024 geschlossen. Angreifer nutzen ihn, um IIS-Machine-Keys zu stehlen und dauerhaften Zugriff zu erlangen. Experten warnen: Ein reines Einspielen des Patches reicht möglicherweise nicht, wenn das System bereits kompromittiert ist.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
