wp2shell: Ist Ihre WordPress-Seite betroffen? Versionen, Anzeichen und was jetzt zu tun ist

Läuft Ihre Seite auf WordPress 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 oder 7.0.0 bis 7.0.1, ist sie von wp2shell betroffen. Sicher gegen wp2shell sind 6.8.6, 6.9.5, 7.0.2 und alles Neuere; weitere Sicherheits-Releases folgten bis 7.1.3. Und selbst wenn das Update längst drin ist: Prüfen Sie die Benutzerliste, die Plugin-Liste und den Webspace. Laut Börse Express wurden die ersten Angriffe schon am 17. Juli 2026 registriert, die Angreifer haben nicht auf Ihr Update gewartet.

Selber machen oder abgeben? Version, Benutzerliste und Plugin-Liste prüfen Sie selbst im Dashboard, das kostet nichts. Finden Sie dabei ein fremdes Konto, ein unbekanntes Plugin oder Dateien in mu-plugins, hören Sie auf zu löschen und lassen prüfen: Der Malware-Notfall sichert den Zustand, bereinigt und härtet zum Festpreis von 349 €.

Was wp2shell ist

Am 17. Juli 2026 veröffentlichte das WordPress-Projekt außerplanmäßig die Versionen 7.0.2, 6.9.5 und 6.8.6. Sie schließen zwei Schwachstellen im WordPress-Kern, die einzeln unangenehm und zusammen verheerend sind: eine SQL-Injection in der Abfrage-Klasse WP_Query (CVE-2026-60137) und eine Verwechslung von Routen in der Batch-Schnittstelle der REST-API (CVE-2026-63030). Hintereinander geschaltet ergeben sie das, was Sicherheitsforscher „wp2shell“ tauften: Ein einziger präparierter HTTP-Aufruf gegen eine unveränderte Standardinstallation genügt, um eigenen Code auf dem Server auszuführen. Kein Plugin nötig, kein Theme, kein Login, kein Nutzerfehler.

Anders als bei den üblichen Plugin-Lücken war hier jede Seite betroffen, die online war. WordPress.org löste deshalb Zwangs-Updates aus, soweit technisch möglich; das BSI warnte am 18. Juli. Ab dem 20./21. Juli meldeten Sicherheitsfirmen und Hoster laufende Angriffe (Zeitleiste unten).

Bin ich betroffen? Drei Wege

1. Im Backend: Dashboard → Aktualisierungen. Dort steht die installierte Version. Alles unter 6.8.6, 6.9.5 bzw. 7.0.2 ist offen.
2. Von außen: Unser WordPress-Alters-Check liest die Version aus dem Quelltext Ihrer Seite und sagt Ihnen direkt, ob die Versionsnummer in der wp2shell-Liste steht — und welche Sicherheits-Releases seitdem noch fehlen. Der Entdecker Adam Kues bietet laut jweiland.net ebenfalls ein kostenloses Online-Prüfwerkzeug an.
3. Beim Hoster: Viele Anbieter haben Ende Juli Rundmails verschickt oder das Update selbst eingespielt (belegt etwa für IONOS). Prüfen Sie das Postfach, das beim Hoster hinterlegt ist — oft ist es nicht das, in das Sie täglich schauen.

Ein gepflegter Zweig ist nicht automatisch sicher: Eine 6.9.4 ist trotz laufender 6.9-Updates offen. Entscheidend ist die dritte Stelle der Versionsnummer. Laut Börse Express (22.07.2026) lag die Patch-Rate unter 124.580 überwachten Seiten bei 81,6 Prozent (Belege unten).

Woran Sie einen Befall erkennen

Das Tückische an dieser Welle: Die Seiten liefen oft weiter wie immer. Die Angreifer wollten einen dauerhaften Zugang, nicht Aufmerksamkeit. Diese Zeichen sind in Quellen belegt (Wortlaut unten bei den Belegen):

• Unbekannte Administrator-Konten. Benutzer → Alle Benutzer, nach Rolle „Administrator“ filtern. Belegt sind Logins mit wp2_ oder w2s_ (BSI, Eye Security) und ein Konto mit einer Adresse auf @wordpress-svc.internal, das sich am 19.7. zuletzt eingeloggt hatte (Born-Blog, Leserkommentar).
• Plugins, die Sie nicht installiert haben. Im Fall bei Born waren es „Database Repair Assistant“ und ein Plugin namens wp2s-…. Manche liegen als „Must-Use-Plugin“ unter wp-content/mu-plugins/; dieser Ordner wird im Backend nicht angezeigt.
• Fremde Dateien im Webspace. Laut Börse Express verstecken Angreifer Webshells in /wp-content/cache/, oft mit zufälligen Dateinamen. Kommentatoren bei Born berichten von .htaccess-Dateien in jedem Unterordner und einer index.php, die sich nach dem Löschen wieder mit Schadcode füllt.
• Deaktivierte Sicherheits-Plugins. Wordfence, Solid Security oder ein Backup-Plugin sind plötzlich aus, ohne dass jemand es war.

Fehlt alles davon, ist das kein Beweis für eine saubere Seite. Aber es ist eine gute Nachricht.

Warum das Update allein nicht reicht

Das Update schließt die Tür. Es holt aber niemanden zurück, der schon im Haus ist. Ein angelegtes Admin-Konto funktioniert nach dem Update weiter, eine Hintertür in mu-plugins auch. Börse Express schreibt dazu: „Sicherheitsexperten raten Administratoren dringend, auch nach dem Einspielen der Updates nach Anzeichen für Kompromittierungen zu suchen.“ Bei einem Fund gilt: nicht einfach löschen. Erst den Zustand sichern, dann alle Passwörter und Salts wechseln, dann bereinigen, dann das Einfallstor bewerten. Wer nur das Konto löscht, lässt in der Regel die Datei stehen, die es wieder anlegt.

Schritt für Schritt: Was Sie jetzt tun

1. Version prüfen (Dashboard → Aktualisierungen) und, falls nötig, aktualisieren — mit Backup davor.
2. Benutzer prüfen: Rolle „Administrator“ filtern, jedes unbekannte Konto notieren (nicht löschen).
3. Plugins prüfen: Plugin-Liste durchsehen. Für mu-plugins und cache brauchen Sie Dateizugriff über den Hoster (FTP oder Dateimanager).
4. Passwörter wechseln, die in WordPress hinterlegt sind (Zugänge zu Mail, Shop, Schnittstellen). IONOS betont in seiner Warnmail: Geänderte Zugangsdaten nicht in ein möglicherweise befallenes WordPress eintragen.
5. Automatische Updates für Sicherheits-Releases prüfen: Sie sind standardmäßig an; sehen Sie nach, ob ein Plugin oder die wp-config.php sie abgeschaltet hat.
6. Nachziehen: Die neueste Version ist derzeit 7.1.3 vom 6.10.2026. Der August brachte zwei weitere Sicherheits-Releases; 7.0.4 schließt unter anderem eine Codeausführung für angemeldete Autoren (CVE-2026-65640), Details im Beitrag zu WordPress 7.0.4.

Allgemeine Symptome einer gehackten Seite beschreibt WordPress gehackt erkennen. Bei einem Fund gilt: nicht selbst löschen, sondern den Malware-Notfall beauftragen (349 € Festpreis: Prüfung von Dateien, Datenbank und Benutzerliste, Bereinigung, Härtung, Bericht).

Zeitleiste: Was wann belegt ist

Nur Daten, die in Primärquellen nachgelesen wurden (Abruf 08.10.2026). Kurz: 17.07. Update 7.0.2, 18.07. BSI-Warnung, 20./21.07. Angriffe und CISA-Eintrag, 06.08. und 12.08. die Versionen 7.0.3 und 7.0.4.

Belege