WordPress-Sicherheit: WP2Shell-Attacke gefährdet 90 Millionen Websites
Veröffentlicht am: 20.07.2026 um 22:12 Uhr | Redaktion boerse-global.de
Die WP2Shell-Attacke
Sicherheitsforscher bestätigten am heutigen Montag, dass Angreifer eine Kombination aus zwei kritischen Schwachstellen im WordPress-Kernsystem aktiv ausnutzen. Unter dem Namen WP2Shell bekannt geworden, erlaubt die Angriffskette nicht authentifizierten Hackern, aus der Ferne Code auf betroffenen Websites auszuführen. Die Angriffswelle folgt auf die Veröffentlichung von Sicherheitspatches Anfang Juli und die anschließende Verbreitung von funktionsfähigem Exploit-Code.
Zwei Lücken – eine tödliche Kombination
Die WP2Shell-Exploit-Kette verbindet zwei unterschiedliche Sicherheitslücken. Die erste, registriert als CVE-2026-63030, ist eine kritische Schwachstelle mit Route-Confusion- und Indexierungsfehlern im REST-API-Batch-Endpunkt von WordPress. Die zweite, CVE-2026-60137, ist ein schwerwiegender SQL-Injection-Fehler im Parameter „author__not_in".
Technische Analysen der Sicherheitsfirmen Hadrian und Searchlight Cyber zeigen: Die Lückenkette erlaubt es einem nicht authentifizierten Nutzer, API-Anfragen zu desynchronisieren und schädlichen Code in die Datenbank einer Website einzuschleusen. Das Ziel: die vollständige Kontrolle über den Server zu erlangen. Während der SQL-Injection-Fehler auch WordPress 6.8.x betrifft, zielt die vollständige RCE-Kette speziell auf die Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1 ab.
Künstliche Intelligenz als Sicherheitsrisiko
Die Entdeckung der WP2Shell-Lücken sorgt auch deshalb für Aufsehen, weil dabei fortschrittliche Künstliche Intelligenz zum Einsatz kam. Der Forscher Adam Kues von Searchlight Cyber nutzte Berichten zufolge OpenAIs GPT-5.6 Sol Ultra-Modell, um die Exploit-Kette zu identifizieren.
Der Einsatz von KI bei Cyberangriffen verschärft die Bedrohungslage für Unternehmen massiv und führt zu neuen gesetzlichen Anforderungen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Kostenlosen KI-Verordnungs-Leitfaden herunterladen
Der KI-gestützte Entdeckungsprozess dauerte rund zehn Stunden und kostete etwa 25 Euro an Rechenleistung. Diese Entwicklung beunruhigt Sicherheitsexperten: Die Kosten sinken, die Geschwindigkeit steigt – komplexe, bisher unbekannte Schwachstellen in großen Softwareplattformen lassen sich immer leichter finden und bewaffnen.
Notfall-Updates und Schutzmaßnahmen
WordPress reagierte umgehend und veröffentlichte am 17. Juli 2026 Sicherheitspatches. Die Versionen 6.9.5 und 7.0.2 schließen die Lücken. Für Millionen verwalteter Installationen aktivierte die Plattform erzwungene Auto-Updates. Auch Sicherheitsanbieter wie Cloudflare haben spezielle Web-Application-Firewall-Regeln (WAF) bereitgestellt, um bekannte Angriffsmuster zu blockieren.
Doch trotz aller Gegenmaßnahmen bleibt die Bedrohungslage ernst. Der Sicherheitsberater Daniel Card schätzt, dass in den Tagen nach der Patch-Veröffentlichung rund 90 Millionen Websites weiterhin verwundbar waren. Organisationen wie Patchstack, Hexastrike und WatchTowr bestätigen: Die Ausnutzung findet im großen Stil statt, öffentliche Exploits sind inzwischen weit verbreitet.
Angesichts der rasanten Entwicklung automatisierter Angriffe müssen Unternehmen ihre IT-Sicherheit proaktiv stärken, um langfristig geschützt zu bleiben. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen ohne teure Investitionen erfüllen. Gratis-Ratgeber zur IT-Sicherheit sichern
Dringender Handlungsbedarf für Administratoren
Branchenexperten, darunter die Führung von WatchTowr, betonen die Dringlichkeit der Lage. Die einfache Ausnutzbarkeit könnte zu massenhaften Website-Übernahmen führen. Administratoren, die nicht sofort auf die Versionen 6.9.5 oder 7.0.2 aktualisieren können, wird geraten, den Zugriff auf den spezifischen REST-API-Batch-Endpunkt als vorübergehende Schutzmaßnahme zu blockieren.
Weitere Empfehlungen: Systemprotokolle auf nicht autorisierte Hintertüren prüfen und sicherstellen, dass alle Kerndateien gegen offizielle WordPress-Prüfsummen verifiziert werden.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
