WP2Shell: Kritische WordPress-Schwachstelle

WP2Shell: Wenn zwei harmlose Bugs zur kompletten Übernahme führen

WP2Shell ist ein Paradebeispiel dafür, wie Angreifer einzelne Schwachstellen zu einer gefährlichen Kette verknüpfen. Wer eine betroffene WordPress-Installation betreibt und noch nicht aktualisiert hat, sollte dies jetzt als höchste Priorität behandeln. Geschwindigkeit entscheidet hier über Sicherheit oder Kompromittierung.

Was ist WP2Shell?

Anders als der Name vermuten lässt, handelt es sich bei WP2Shell nicht um eine Schwachstelle in einem einzelnen Plugin, sondern um zwei Sicherheitslücken im WordPress-Core selbst, die zusammen für vorauthentifizierte Remote Code Execution (RCE) sorgen: Ein anonymer Request gegen eine Standardinstallation, ohne Plugins und ohne besondere Konfiguration, reicht aus, um Code auf dem Server auszuführen.

Die Kette besteht aus zwei CVEs, die für sich genommen harmlos wirken, in Kombination aber verheerend sind: CVE-2026-60137 ist eine SQL-Injection im author__not_in-Parameter von WP_Query, der zentralen Klasse, die nahezu jede Datenbankabfrage in WordPress steuert – als kritisch eingestuft und bis WordPress 6.8 zurückreichend. CVE-2026-63030 ist ein Routing-Fehler im REST-API-Batch-Endpunkt unter /wp-json/batch/v1, der seit WordPress 5.6 im Jahr 2020 standardmäßig aktiv ist. Jede Lücke allein ist begrenzt gefährlich – zusammen führen sie zur schwerwiegendsten Konsequenz überhaupt: vollständiger Serverübernahme.

Entdeckt wurde die Kette von Searchlight Cyber, die technische Details bestätigten: Der Angriff nutzt einen Logikfehler im REST-API-Batch-Prozessor von WordPress aus, der Validierung und Ausführung in getrennten Schleifen durchführt. Schlägt wp_parse_url() bei einem Sub-Request-Pfad fehl, landet der Fehler im Validierungs-Array, nicht aber im Ausführungs-Array. Das Ergebnis: Wenn beide Schwachstellen vorhanden sind, eskaliert der Angriff zu RCE, indem WordPress-interne Mechanismen missbraucht werden, um ein Administrator-Konto anzulegen. Der Angreifer meldet sich an und lädt anschließend ein bösartiges Plugin für die Codeausführung hoch.

Wer ist betroffen?

Betroffen sind WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Besonders brisant: Der Angriff erfordert keinerlei Vorbedingungen und kann von einem anonymen Nutzer ausgeführt werden – bei geschätzt 500 Millionen WordPress-Installationen weltweit eine enorme Angriffsfläche.

Wie schnell ging es wirklich?

Die Zahlen zeigen, warum Tempo hier alles ist: WordPress kündigte die Patches mit den Versionen 6.9.5 und 7.0.2 an; aufgrund der Schwere hat das WordPress.org-Team forcierte Updates über das Auto-Update-System für Sites mit betroffenen Versionen aktiviert. Trotzdem folgte die Ausnutzung in Rekordzeit: Proof-of-Concept-Exploits tauchten innerhalb weniger Stunden nach der Offenlegung auf, während dies historisch 24 Stunden oder länger gedauert hätte. Beide CVEs wurden zudem am 21. Juli in den KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgenommen, was aktive Ausnutzung bestätigt.

Wie real das Risiko ist, zeigt eine Untersuchung von Bitdefender MDR: Bei einem kompromittierten Server lief der Angriff dreimal, bevor er vollständig erfolgreich war – erst im dritten Versuch erlangte der Angreifer Administratorzugriff, lud mehrere bösartige Plugin-Dropper hoch und aktivierte sie, platzierte PHP-Webshells und erreichte Remote Code Execution.

Was tun?

1. Version prüfen: Läuft eine WordPress-Core-Version zwischen 6.9.0–6.9.4 oder 7.0.0–7.0.1? Dann sofort handeln.
2. Sofort aktualisieren: Das Einspielen des von WordPress bereitgestellten Updates ist der wirksamste Weg, CVE-2026-63030 zu beheben. Auch wenn Auto-Updates aktiviert sind, sollte man manuell prüfen, ob jede öffentlich erreichbare WordPress-Website erfolgreich auf 6.9.5, 7.0.2 oder einen anderen passenden Fixed-Release aktualisiert wurde.
3. Auf Kompromittierung prüfen: Wer vor dem Patchen unautorisierten Zugriff vermutet, sollte laut Empfehlung von Coalition Logs auf Hinweise für unbefugten Zugriff, neu angelegte Admin-Nutzer oder neu installierte Plugins durchsuchen. Verdächtig sind laut Bitdefender u. a. unbekannte Plugin-Verzeichnisse unter wp-content/plugins/ sowie unbekannte PHP-Dateien an zufälligen Pfaden innerhalb von wp-content/-Unterverzeichnissen.

Unser Status

Alle von uns betreuten WordPress-Websites sind nach aktuellem Stand nicht betroffen, da wir durchgängig aktuelle WordPress-Core-Versionen einsetzen. Da WP2Shell im Core selbst liegt und keine spezifischen Plugins voraussetzt, ist die konsequente Aktualität des Cores hier der entscheidende Schutzfaktor – unabhängig davon, welche Plugins auf einer Seite aktiv sind.

Fazit

WP2Shell zeigt exemplarisch, wie zwei für sich genommen moderate Schwachstellen zu einer kritischen Kette werden können – und wie kurz das Zeitfenster zwischen Offenlegung und aktiver Ausnutzung mittlerweile geworden ist. Wer WordPress selbst hostet oder betreut, sollte Versionsstände regelmäßig und zeitnah prüfen, nicht nur bei Plugins, sondern gerade auch beim Core.