WordPress: Wp2shell – Kritische Remote Code Execution Schwachstellen

WordPress: wp2shell – Kritische Remote Code Execution Schwachstellen

BITS-H Nr. 2026-271984-1132 · Version 1.1 · 20.07.2026

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei Schwachstellen in WordPress, die in Kombination einen nicht-authentifizierten Remote Code Execution (RCE) ermöglichen. Die Schwachstellenkette wurde als „wp2shell“ bezeichnet und weist einen CVSS-Score von 9,8 / 10 auf. Proof-of-Concepts sind öffentlich verfügbar, erste Ausnutzungen wurden bereits gemeldet. Betroffene Betreiber müssen unverzüglich handeln.Kritikalität: 3 / OrangeTLP: CLEARCVE-2026-60137 · CVE-2026-63030

Übersicht auf einen Blick

Die nachfolgende Zusammenfassung gibt einen strukturierten Überblick über alle relevanten Eckdaten dieser Sicherheitswarnung – von den betroffenen Versionen bis zu den behebenden Updates. Alle Informationen stammen aus dem offiziellen BSI-Bericht BITS-H Nr. 2026-271984-1132.

Betroffene WordPress-Versionen

6.8.0 – 6.8.5 (nur CVE-2026-60137)
6.9.0 – 6.9.4
7.0.0 – 7.0.1
7.1 beta

Behebende Versionen

WordPress 6.8.6
WordPress 6.9.5
WordPress 7.0.2
WordPress 7.1 beta2

Versionen älter als 6.8 sind nicht betroffen.

Identifizierte CVEs

CVE-2026-60137 – CVSS 9,1/10 (SQL-Injection via author__not_in Parameter in WP_Query)
CVE-2026-63030 – CVSS 7,5/10 (REST API Schwachstelle)
Kombiniert (wp2shell): CVSS 9,8/10

Gefährdungsstatus

Aktive Ausnutzung wurde bestätigt. Proof-of-Concepts sind öffentlich verfügbar. Die Ausnutzung erfordert keine Authentifizierung.

Schutzmaßnahmen

Patch installieren + Workaround (WAF) einrichten

Sachverhalt: Was ist wp2shell?

Am 17.07.2026 veröffentlichte WordPress ein Sicherheitsupdate, das zwei Schwachstellen im Kernsystem behebt. In Kombination ermöglichen diese einem nicht-authentifizierten Angreifer die Ausführung beliebigen Codes auf dem betroffenen Server – ohne jegliche Anmeldung. Die Schwachstellenkette wurde von Sicherheitsforschern als „wp2shell“ bezeichnet.

CVE-2026-60137 – SQL-Injection

Fehlerhafte Sanitisierung des Parameters author__not_in bei WP_Query-Abfragen. Ermöglicht SQL-Injection-Angriffe, über die Angreifer Datenbankinhalte auslesen können – einschließlich Passwort-Hashes der Tabelle wp_users.

CVE-2026-63030 – REST API Schwachstelle

Schwachstelle in der WordPress REST API, die in Kombination mit CVE-2026-60137 die vollständige Remote Code Execution ohne Authentifizierung ermöglicht. Der Angriff nutzt den Batch-Endpoint /wp-json/batch/v1.

Entdeckung durch KI

Das Unternehmen Searchlight Cyber fand die Schwachstelle mithilfe von OpenAI GPT-5.6 Sol Ultra. Technische Details und die verwendeten KI-Prompts wurden im Blog des Unternehmens veröffentlicht. Ein Proof-of-Concept wurde auf GitHub veröffentlicht.

Bewertung & Bedrohungslage

Das BSI stuft die Schwachstellenkette als sehr kritisch ein. Die Existenz öffentlicher Proof-of-Concepts und die Einfachheit der Ausnutzung ohne Authentifizierung erhöhen das Risiko massiv. Nur wenige Stunden nach Veröffentlichung der Patches wurden erste PoCs im Internet verbreitet – ein deutliches Zeichen für die gesunkene „Time-to-Exploit“.

CVSS-Score

Kombinierter Score der wp2shell-Schwachstellenkette (CVSS 3.1)

Authentifizierung

Keine Anmeldung erforderlich – Angriffe sind vollständig anonym möglich

CVEs kombiniert

Zwei Schwachstellen bilden zusammen die kritische Angriffskette

Stunden bis PoC

Öffentliche Exploits waren bereits Stunden nach Patch-Veröffentlichung verfügbar

WordPress-Betreiber, deren Systeme am Tag der Veröffentlichung (17.07.2026) nicht automatisch aktualisiert wurden, sollten diese umgehend auf eine bereits stattgefundene Kompromittierung prüfen.

Betroffene Versionen im Detail

Nicht alle WordPress-Versionen sind in gleichem Maße betroffen. Die folgende Übersicht zeigt, welche Versionen von welcher Schwachstelle betroffen sind und welche Update-Version die Lücke schließt. Betreiber sollten zunächst prüfen, welche Version auf ihrem System läuft.

Version	Betroffen von	Behebende Version	Dringlichkeit
WordPress 6.8.0 – 6.8.5	CVE-2026-60137 (nur)	6.8.6	Hoch
WordPress 6.9.0 – 6.9.4	CVE-2026-60137 + CVE-2026-63030	6.9.5	Kritisch
WordPress 7.0.0 – 7.0.1	CVE-2026-60137 + CVE-2026-63030	7.0.2	Kritisch
WordPress 7.1 beta	CVE-2026-60137 + CVE-2026-63030	7.1 beta2	Kritisch
WordPress < 6.8	Nicht betroffen	–	–

Der eingeschränkte betroffene Versionsbereich sowie standardmäßig aktivierte automatische Updates verringern die Wahrscheinlichkeit einer sehr breiten Angriffswelle. Dennoch können verwundbare WordPress-Instanzen kurz- und mittelfristig Ziel automatisierter Angriffe werden.

Schutzmaßnahmen: Patchen & Workarounds

Das BSI empfiehlt, unverzüglich eine der abgesicherten Versionen zu installieren. Für Betreiber, die automatische Updates deaktiviert haben oder bei denen diese nicht funktionieren (z. B. aufgrund von Dateiberechtigungen), ist eine manuelle Installation zwingend erforderlich.

🔧 Patch installieren

Automatische Updates aktivieren oder manuell auf Version 6.8.6 / 6.9.5 / 7.0.2 / 7.1 beta2 aktualisieren. Vorher Backup erstellen.

🛡️ WAF konfigurieren

Web Application Firewall einrichten und Aufrufe auf /wp-json/batch/v1 sowie Parameter ?rest_route=/batch/v1 blockieren.

🔒 REST API absichern

Plugin zur Blockierung anonymer Zugriffe auf die WordPress REST API installieren, um Angriffe ohne Authentifizierung zu verhindern.

✅ Verwundbarkeit prüfen

Mit dem Searchlight Cyber Webseiten-Checker unter wp2shell.com testen, ob die eigene Installation betroffen ist.

Kompromittierung prüfen

Da erste Ausnutzungen bereits gemeldet wurden, sollten alle Betreiber – insbesondere solche ohne automatische Updates am 17.07.2026 – ihre Systeme auf Anzeichen einer Kompromittierung untersuchen. Die folgende Checkliste basiert auf aktuellen Empfehlungen von Sicherheitsexperten.

Log-Analyse & Netzwerk

POST Requests auf /wp-json/batch/v1 – erhöhte Anfragezahlen sind verdächtig
Requests mit Parameter ?rest_route=/batch/v1
Login-Versuche mit Benutzernamen wp2_* or w2s_*
Ungewöhnliche ausgehende Verbindungen vom Webserver
Ausführung ungewöhnlicher Prozesse oder Shell-Befehle

System & Datenbank

Admin-Konten mit Mailadressen @wp2shell.invalid or @wp2shell.shellcode.lol
Neue oder angepasste Dateien, Plugins und Benutzerkonten – insbesondere neue Administratoren
Auffälligkeiten in oembed_cache and customize_changeset
Unbekannte oder modifizierte WordPress-Kern-Dateien

Bei Verdacht auf Kompromittierung: System sofort isolieren, Beweissicherung einleiten, alle aktiven Sessions beenden und alle Nutzerpasswörter zurücksetzen. Passwort-Hashes können über die SQL-Injection ausgelesen und offline geknackt worden sein.

Passwörter & Zugangsdaten ändern

Im Falle einer tatsächlichen oder vermuteten Kompromittierung müssen alle betroffenen Zugangsdaten umgehend geändert werden. Die SQL-Injection-Schwachstelle ermöglicht Angreifern den Zugriff auf alle Passwort-Hashes der wp_users-Tabelle, die anschließend offline geknackt werden können.

→Kundenpasswort

Das Passwort des WordPress-Benutzerkontos mit Administratorrechten sofort ändern. Starkes, eindeutiges Passwort verwenden.

→E-Mail-Passwörter

Passwörter aller mit der WordPress-Instanz verknüpften E-Mail-Konten ändern, insbesondere Admin-E-Mail-Adressen.

→Plugin- & API-Zugangsdaten

Alle API-Keys, Token und Zugangsdaten von Plugins und Erweiterungen (z. B. Online-Shop, Payment-Dienste, CDN) zurücksetzen.

→Wiederverwendete Passwörter

Passwörter, die auch bei anderen Diensten genutzt wurden, müssen ebenfalls bei den jeweiligen Anbietern geändert werden.

Empfehlungen des BSI

Über die unmittelbaren Schutzmaßnahmen hinaus empfiehlt das BSI langfristige Maßnahmen, um WordPress-Installationen dauerhaft gegen ähnliche Angriffe zu härten und die Reaktionsfähigkeit bei künftigen Sicherheitsvorfällen zu verbessern.

Automatische Updates aktivieren

Prüfen, ob automatische Updates aktiviert sind und technisch funktionieren. Bei deaktivierten Updates einen Prozess etablieren, der neue Sicherheitsupdates zeitnah einspielt.

Web Application Firewall einsetzen

Betreiber wichtiger Webseiten sollten grundsätzlich eine WAF einsetzen, um Angriffe kurzfristig abzuwehren – auch bei noch unbekannten Schwachstellen (Zero-Day).

Regelmäßige Überwachung

Log-Dateien und Systemaktivitäten regelmäßig auswerten. Auffällige Muster wie gehäufte API-Aufrufe oder neue Admin-Konten frühzeitig erkennen.

Backups & Notfallplan

Regelmäßige, getrennt gespeicherte Backups sicherstellen und einen Incident-Response-Plan für den Kompromittierungsfall vorhalten.

Referenzen & TLP-Hinweise

Quellen & Referenzen

[WP26] WordPress 7.0.2 Release – wordpress.org
[NVD26a] CVE-2026-63030 – nvd.nist.gov
[NVD26b] CVE-2026-60137 – nvd.nist.gov
[SC26a] Searchlight Cyber wp2shell Research – slcyber.io
[SC26b] wp2shell Vulnerability Checker – wp2shell.com
[EYE26] Defender’s Guide – research.eye.security
[Rapid7] CVE-2026-63030 Analysis – rapid7.com

Täglich aktuelle Hinweise: cert-bund.de

Traffic Light Protocol (TLP)

Dieses Dokument ist als TLP:CLEAR eingestuft und darf ohne Einschränkungen weitergegeben werden – abgesehen von urheberrechtlichen Aspekten.

CLEAR: Unbegrenzte Weitergabe
GREEN: Organisationsübergreifend
AMBER: Eingeschränkt intern
RED: Nur für benannte Empfänger

TLP-ingestufte Dokumente (außer CLEAR) dürfen nicht auf Plattformen Dritter (VirusTotal, Übersetzungsdienste etc.) hochgeladen werden.

Versionsverlauf: 1.0 – 18.07.2026 | 1.1 – 20.07.2026 (Update mit PoC-Berichten und erweiterten Kompromittierungsindikatoren)

Subscribe to Newsletter

Share your love