Newsletter Subscribe
Enter your email address below and subscribe to our newsletter
Du bist der Ermittler
WordPress-sicherheit
Share your love
WordPress: wp2shell – Kritische Remote Code Execution Schwachstellen
BITS-H Nr. 2026-271984-1132 · Version 1.1 · 20.07.2026
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor zwei Schwachstellen in WordPress, die in Kombination einen nicht-authentifizierten Remote Code Execution (RCE) ermöglichen. Die Schwachstellenkette wurde als „wp2shell“ bezeichnet und weist einen CVSS-Score von 9,8 / 10 auf. Proof-of-Concepts sind öffentlich verfügbar, erste Ausnutzungen wurden bereits gemeldet. Betroffene Betreiber müssen unverzüglich handeln.Kritikalität: 3 / OrangeTLP: CLEARCVE-2026-60137 · CVE-2026-63030
Übersicht auf einen Blick
Die nachfolgende Zusammenfassung gibt einen strukturierten Überblick über alle relevanten Eckdaten dieser Sicherheitswarnung – von den betroffenen Versionen bis zu den behebenden Updates. Alle Informationen stammen aus dem offiziellen BSI-Bericht BITS-H Nr. 2026-271984-1132.
Betroffene WordPress-Versionen
- 6.8.0 – 6.8.5 (nur CVE-2026-60137)
- 6.9.0 – 6.9.4
- 7.0.0 – 7.0.1
- 7.1 beta
Behebende Versionen
- WordPress 6.8.6
- WordPress 6.9.5
- WordPress 7.0.2
- WordPress 7.1 beta2
Versionen älter als 6.8 sind nicht betroffen.
Identifizierte CVEs
- CVE-2026-60137 – CVSS 9,1/10 (SQL-Injection via author__not_in Parameter in WP_Query)
- CVE-2026-63030 – CVSS 7,5/10 (REST API Schwachstelle)
- Kombiniert (wp2shell): CVSS 9,8/10
Gefährdungsstatus
Aktive Ausnutzung wurde bestätigt. Proof-of-Concepts sind öffentlich verfügbar. Die Ausnutzung erfordert keine Authentifizierung.
Schutzmaßnahmen
Patch installieren + Workaround (WAF) einrichten
Sachverhalt: Was ist wp2shell?
Am 17.07.2026 veröffentlichte WordPress ein Sicherheitsupdate, das zwei Schwachstellen im Kernsystem behebt. In Kombination ermöglichen diese einem nicht-authentifizierten Angreifer die Ausführung beliebigen Codes auf dem betroffenen Server – ohne jegliche Anmeldung. Die Schwachstellenkette wurde von Sicherheitsforschern als „wp2shell“ bezeichnet.
CVE-2026-60137 – SQL-Injection
Fehlerhafte Sanitisierung des Parameters author__not_in bei WP_Query-Abfragen. Ermöglicht SQL-Injection-Angriffe, über die Angreifer Datenbankinhalte auslesen können – einschließlich Passwort-Hashes der Tabelle wp_users.
CVE-2026-63030 – REST API Schwachstelle
Schwachstelle in der WordPress REST API, die in Kombination mit CVE-2026-60137 die vollständige Remote Code Execution ohne Authentifizierung ermöglicht. Der Angriff nutzt den Batch-Endpoint /wp-json/batch/v1.
Entdeckung durch KI
Das Unternehmen Searchlight Cyber fand die Schwachstelle mithilfe von OpenAI GPT-5.6 Sol Ultra. Technische Details und die verwendeten KI-Prompts wurden im Blog des Unternehmens veröffentlicht. Ein Proof-of-Concept wurde auf GitHub veröffentlicht.
Bewertung & Bedrohungslage
Das BSI stuft die Schwachstellenkette als sehr kritisch ein. Die Existenz öffentlicher Proof-of-Concepts und die Einfachheit der Ausnutzung ohne Authentifizierung erhöhen das Risiko massiv. Nur wenige Stunden nach Veröffentlichung der Patches wurden erste PoCs im Internet verbreitet – ein deutliches Zeichen für die gesunkene „Time-to-Exploit“.
0
CVSS-Score
Kombinierter Score der wp2shell-Schwachstellenkette (CVSS 3.1)
0
Authentifizierung
Keine Anmeldung erforderlich – Angriffe sind vollständig anonym möglich
0
CVEs kombiniert
Zwei Schwachstellen bilden zusammen die kritische Angriffskette
0
Stunden bis PoC
Öffentliche Exploits waren bereits Stunden nach Patch-Veröffentlichung verfügbar
WordPress-Betreiber, deren Systeme am Tag der Veröffentlichung (17.07.2026) nicht automatisch aktualisiert wurden, sollten diese umgehend auf eine bereits stattgefundene Kompromittierung prüfen.
Betroffene Versionen im Detail
Nicht alle WordPress-Versionen sind in gleichem Maße betroffen. Die folgende Übersicht zeigt, welche Versionen von welcher Schwachstelle betroffen sind und welche Update-Version die Lücke schließt. Betreiber sollten zunächst prüfen, welche Version auf ihrem System läuft.
| Version | Betroffen von | Behebende Version | Dringlichkeit |
| WordPress 6.8.0 – 6.8.5 | CVE-2026-60137 (nur) | 6.8.6 | Hoch |
| WordPress 6.9.0 – 6.9.4 | CVE-2026-60137 + CVE-2026-63030 | 6.9.5 | Kritisch |
| WordPress 7.0.0 – 7.0.1 | CVE-2026-60137 + CVE-2026-63030 | 7.0.2 | Kritisch |
| WordPress 7.1 beta | CVE-2026-60137 + CVE-2026-63030 | 7.1 beta2 | Kritisch |
| WordPress < 6.8 | Nicht betroffen | – | – |
Der eingeschränkte betroffene Versionsbereich sowie standardmäßig aktivierte automatische Updates verringern die Wahrscheinlichkeit einer sehr breiten Angriffswelle. Dennoch können verwundbare WordPress-Instanzen kurz- und mittelfristig Ziel automatisierter Angriffe werden.
Schutzmaßnahmen: Patchen & Workarounds
Das BSI empfiehlt, unverzüglich eine der abgesicherten Versionen zu installieren. Für Betreiber, die automatische Updates deaktiviert haben oder bei denen diese nicht funktionieren (z. B. aufgrund von Dateiberechtigungen), ist eine manuelle Installation zwingend erforderlich.
🔧 Patch installieren
Automatische Updates aktivieren oder manuell auf Version 6.8.6 / 6.9.5 / 7.0.2 / 7.1 beta2 aktualisieren. Vorher Backup erstellen.
🛡️ WAF konfigurieren
Web Application Firewall einrichten und Aufrufe auf /wp-json/batch/v1 sowie Parameter ?rest_route=/batch/v1 blockieren.
🔒 REST API absichern
Plugin zur Blockierung anonymer Zugriffe auf die WordPress REST API installieren, um Angriffe ohne Authentifizierung zu verhindern.
✅ Verwundbarkeit prüfen
Mit dem Searchlight Cyber Webseiten-Checker unter wp2shell.com testen, ob die eigene Installation betroffen ist.
Kompromittierung prüfen
Da erste Ausnutzungen bereits gemeldet wurden, sollten alle Betreiber – insbesondere solche ohne automatische Updates am 17.07.2026 – ihre Systeme auf Anzeichen einer Kompromittierung untersuchen. Die folgende Checkliste basiert auf aktuellen Empfehlungen von Sicherheitsexperten.
Log-Analyse & Netzwerk
- POST Requests auf
/wp-json/batch/v1– erhöhte Anfragezahlen sind verdächtig - Requests mit Parameter
?rest_route=/batch/v1 - Login-Versuche mit Benutzernamen
wp2_*oderw2s_* - Ungewöhnliche ausgehende Verbindungen vom Webserver
- Ausführung ungewöhnlicher Prozesse oder Shell-Befehle
System & Datenbank
- Admin-Konten mit Mailadressen
@wp2shell.invalidoder@wp2shell.shellcode.lol - Neue oder angepasste Dateien, Plugins und Benutzerkonten – insbesondere neue Administratoren
- Auffälligkeiten in
oembed_cacheundcustomize_changeset - Unbekannte oder modifizierte WordPress-Kern-Dateien
Bei Verdacht auf Kompromittierung: System sofort isolieren, Beweissicherung einleiten, alle aktiven Sessions beenden und alle Nutzerpasswörter zurücksetzen. Passwort-Hashes können über die SQL-Injection ausgelesen und offline geknackt worden sein.
Passwörter & Zugangsdaten ändern
Im Falle einer tatsächlichen oder vermuteten Kompromittierung müssen alle betroffenen Zugangsdaten umgehend geändert werden. Die SQL-Injection-Schwachstelle ermöglicht Angreifern den Zugriff auf alle Passwort-Hashes der wp_users-Tabelle, die anschließend offline geknackt werden können.
→Kundenpasswort
Das Passwort des WordPress-Benutzerkontos mit Administratorrechten sofort ändern. Starkes, eindeutiges Passwort verwenden.
→E-Mail-Passwörter
Passwörter aller mit der WordPress-Instanz verknüpften E-Mail-Konten ändern, insbesondere Admin-E-Mail-Adressen.
→Plugin- & API-Zugangsdaten
Alle API-Keys, Token und Zugangsdaten von Plugins und Erweiterungen (z. B. Online-Shop, Payment-Dienste, CDN) zurücksetzen.
→Wiederverwendete Passwörter
Passwörter, die auch bei anderen Diensten genutzt wurden, müssen ebenfalls bei den jeweiligen Anbietern geändert werden.
Empfehlungen des BSI
Über die unmittelbaren Schutzmaßnahmen hinaus empfiehlt das BSI langfristige Maßnahmen, um WordPress-Installationen dauerhaft gegen ähnliche Angriffe zu härten und die Reaktionsfähigkeit bei künftigen Sicherheitsvorfällen zu verbessern.
Automatische Updates aktivieren
Prüfen, ob automatische Updates aktiviert sind und technisch funktionieren. Bei deaktivierten Updates einen Prozess etablieren, der neue Sicherheitsupdates zeitnah einspielt.
Web Application Firewall einsetzen
Betreiber wichtiger Webseiten sollten grundsätzlich eine WAF einsetzen, um Angriffe kurzfristig abzuwehren – auch bei noch unbekannten Schwachstellen (Zero-Day).
Regelmäßige Überwachung
Log-Dateien und Systemaktivitäten regelmäßig auswerten. Auffällige Muster wie gehäufte API-Aufrufe oder neue Admin-Konten frühzeitig erkennen.
Backups & Notfallplan
Regelmäßige, getrennt gespeicherte Backups sicherstellen und einen Incident-Response-Plan für den Kompromittierungsfall vorhalten.
Referenzen & TLP-Hinweise
Quellen & Referenzen
- [WP26] WordPress 7.0.2 Release – wordpress.org
- [NVD26a] CVE-2026-63030 – nvd.nist.gov
- [NVD26b] CVE-2026-60137 – nvd.nist.gov
- [SC26a] Searchlight Cyber wp2shell Research – slcyber.io
- [SC26b] wp2shell Vulnerability Checker – wp2shell.com
- [EYE26] Defender’s Guide – research.eye.security
- [Rapid7] CVE-2026-63030 Analysis – rapid7.com
Täglich aktuelle Hinweise: cert-bund.de
Traffic Light Protocol (TLP)
Dieses Dokument ist als TLP:CLEAR eingestuft und darf ohne Einschränkungen weitergegeben werden – abgesehen von urheberrechtlichen Aspekten.
- CLEAR: Unbegrenzte Weitergabe
- GREEN: Organisationsübergreifend
- AMBER: Eingeschränkt intern
- RED: Nur für benannte Empfänger
TLP-ingestufte Dokumente (außer CLEAR) dürfen nicht auf Plattformen Dritter (VirusTotal, Übersetzungsdienste etc.) hochgeladen werden.
Versionsverlauf: 1.0 – 18.07.2026 | 1.1 – 20.07.2026 (Update mit PoC-Berichten und erweiterten Kompromittierungsindikatoren)
