WordPress Sicherheitslücke wp2shell: Pre-Auth-RCE im Core – sofort patchen

Wer WordPress selbst betreibt, sollte keine Zeit verlieren: Eine kritische WordPress Sicherheitslücke namens „wp2shell“ erlaubt es unangemeldeten Angreifern, aus der Ferne Code auf dem Server auszuführen – und das auf Standard-Installationen ganz ohne Plugins. Seit dem 18. Juli 2026 kursieren funktionierende Exploits öffentlich.

WordPress Sicherheitslücke wp2shell: zwei Fehler, eine Angriffskette

Hinter „wp2shell“ stecken zwei verkettete Schwachstellen im WordPress-Core:

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

• CVE-2026-63030 – eine Verwechslung in der Batch-Route der REST-API.
• CVE-2026-60137 – eine SQL-Injection im Core (im Parameter author__not_in von WP_Query).

Einzeln wären beide begrenzt. Verkettet aber führt eine einzige anonyme Anfrage von der SQL-Injection bis zur vollständigen Codeausführung – ohne Login, ohne Zutun eines Administrators. Das GitHub-Advisory stuft die Lücke als kritisch ein; der zugewiesene CVSS-Wert liegt bei 7.5. Entscheidend ist die Vorbedingung: Der Angriff ist vorauthentifiziert (pre-auth) und über das Internet erreichbar.

Welche Versionen betroffen sind

Die komplette RCE-Kette betrifft WordPress 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Die SQL-Injection reicht bis Version 6.8 zurück, lässt sich dort aber nicht zur Codeausführung verketten – die dafür nötige Batch-Route-Schwäche existiert erst ab 6.9. Für die 6.8er-Reihe gibt es einen separaten Fix (6.8.6). Entdeckt wurde die Kette von Adam Kues von Assetnote (Teil von Searchlight Cyber) und über das HackerOne-Programm von WordPress gemeldet; die technischen Details wurden zunächst zurückgehalten, um Administratoren Zeit zum Patchen zu geben.

Patch 6.9.5 und 7.0.2 – teils automatisch

WordPress hat die Lücke am 17. Juli mit den Versionen 6.9.5 und 7.0.2 geschlossen und für die betroffenen Zweige erzwungene Auto-Updates aktiviert. Viele Seiten wurden dadurch bereits automatisch abgesichert. Verlassen sollte man sich darauf aber nicht: Wer Auto-Updates deaktiviert hat, einen Objekt-Cache nutzt oder eine ältere Version einfriert, muss selbst aktualisieren. Inzwischen sind laut Sicherheitsforschern auch erste Ausnutzungsversuche in freier Wildbahn dokumentiert.

Sofortmaßnahmen für Betreiber

• WordPress-Version im Dashboard prüfen und auf 6.9.5 bzw. 7.0.2 (oder neuer) aktualisieren.
• Bestätigen, dass das Update wirklich eingespielt wurde – nicht nur, dass es angestoßen war.
• Server-Logs auf verdächtige Anfragen an die REST-Batch-Route prüfen.
• Nach einem sauberen Stand ein frisches Backup ziehen.

Ein aktuelles, offline gehaltenes Backup ist bei einer RCE-Lücke die beste Versicherung gegen Datenverlust – worauf es dabei ankommt, zeigt unser Ratgeber zu verschlüsselten USB-Sticks und externen SSDs. Dass Content-Management-Systeme ein beliebtes Ziel bleiben, war zuletzt auch bei den Joomla-Zero-Days mit CVSS 10.0 zu sehen.

Quellen

• BleepingComputer: WordPress Core „wp2shell“ RCE flaws get public exploits
• Rapid7: CVE-2026-63030 wp2shell
• The Hacker News: New wp2shell WordPress Core Flaw