WordPress-Core-Schwachstelle „wp2shell“: Kritische Pre-Auth-RCE bedroht alle Standard-Installationen
Eine als wp2shell bekannte kritische Sicherheitslücke im WordPress-Core erlaubt vorautentifizierte Remote Code Execution ohne Plugins oder besondere Konfiguration. Patches sind verfügbar – öffentliche Exploits kursieren bereits.
Eine schwerwiegende Sicherheitslücke im WordPress-Core versetzt Angreifer in die Lage, beliebigen Schadcode auf betroffenen Webservern auszuführen – ohne dabei ein Benutzerkonto oder eine Anmeldung zu benötigen. Die als wp2shell bezeichnete Schwachstelle betrifft alle WordPress-Installationen vor Version 6.9.5 beziehungsweise 7.0.2 und gilt als besonders kritisch, da öffentlich verfügbare Proof-of-Concept-Exploits eine breite Angriffswelle bereits wahrscheinlich machen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 18. Juli 2026 eine eigene Cybersicherheitswarnung herausgegeben.
Die Schwachstelle
wp2shell ist eine vorautentifizierte Remote Code Execution (Pre-Auth-RCE), die direkt im WordPress-Core verankert ist. Das bedeutet: Weder zusätzliche Plugins noch eine besondere Serverkonfiguration sind erforderlich, um die Lücke auszunutzen. Eine frische Standardinstallation von WordPress mit einer verwundbaren Core-Version reicht aus, um einem Angreifer die vollständige Kontrolle über den Webserver zu ermöglichen – ein ungewöhnlich niedriger Angriffsvektor für eine Core-Schwachstelle dieser Tragweite.
Besonders beunruhigend ist der Umstand, dass für wp2shell bereits öffentliche Proof-of-Concept-Exploits kursieren. Damit sinkt die Eintrittshürde für Angriffe erheblich: Auch Angreifer ohne tiefes technisches Fachwissen können die Lücke potenziell ausnutzen. WordPress hat mit den Versionen 6.9.5 (Branch 6.x) und 7.0.2 (Branch 7.x) Patches bereitgestellt, die die Schwachstelle schließen.
Bin ich betroffen?
Betroffen sind alle öffentlich zugänglichen WordPress-Installationen, die eine Core-Version vor 6.9.5 (im 6.x-Branch) oder vor 7.0.2 (im 7.x-Branch) verwenden. Eine Übersicht der betroffenen Versionen:
| WordPress-Branch | Letzte verwundbare Version | Gepatchte Version |
|---|---|---|
| 6.x | 6.9.4 und älter | 6.9.5 |
| 7.x | 7.0.1 und älter | 7.0.2 |
Da die Schwachstelle keine zusätzlichen Plugins oder spezielle Einstellungen voraussetzt, sind auch frische Standardinstallationen ohne jede Erweiterung angreifbar. Die aktuell installierte WordPress-Version lässt sich im Dashboard unter Dashboard → Aktualisierungen oder in der Datei wp-includes/version.php ablesen.
Wie behebe ich das?
Die dringlichste Maßnahme ist das sofortige Update auf eine gepatchte WordPress-Version:
- Branch 6.x: Update auf WordPress 6.9.5
- Branch 7.x: Update auf WordPress 7.0.2
Das Update kann direkt im WordPress-Dashboard unter Dashboard → Aktualisierungen durchgeführt werden. Zusätzlich empfiehlt sich die Aktivierung automatischer Core-Updates, um künftige Sicherheitspatches schneller einzuspielen und Expositionsfenster zu minimieren.
Nach dem Update sollten Betreiber ihre Log-Dateien und Webserver-Verzeichnisse auf Anzeichen einer möglichen Kompromittierung prüfen. Unbekannte Administratorkonten oder auffällige Einträge in Zugriffs- und Fehlerprotokollen können auf eine bereits erfolgte Ausnutzung hinweisen.
Für eine strukturierte Reaktion auf Sicherheitsvörfalle bietet sich ergänzend der Ransomware-Notfallplan für die ersten 60 Minuten an. Wer die Serverinfrastruktur grundsätzlich absichern möchte, findet in der Anleitung Linux-Server absichern mit UFW und Fail2ban praxisnahe Hilfestellung.
Was bedeutet das für Unternehmen?
Für Unternehmen mit öffentlich zugänglichen WordPress-Sites unter veralteten Core-Versionen ist die Lage ernst: Eine erfolgreiche Ausnutzung von wp2shell ermöglicht die vollständige Übernahme des betroffenen Webservers – ohne jede Benutzerinteraktion, ohne vorherige Anmeldung, ohne Umweg über Plugins. Angreifer können Schadcode einschleusen, Daten exfiltrieren oder die Website für Phishing-Kampagnen missbrauchen.
Da öffentliche Exploits bereits verfügbar sind, ist mit automatisierten Massenscans zu rechnen, die verwundbare Installationen systematisch identifizieren und angreifen. IT-Verantwortliche sollten daher unverzüglich prüfen, welche WordPress-Instanzen im eigenen Unternehmen oder bei betreuten Kunden laufen, und den Patch-Status sicherstellen.
Mittelfristig empfiehlt sich der Aufbau einer regelmäßigen Backup- und Restore-Test-Routine, um im Kompromittierungsfall schnell und kontrolliert handlungsfähig zu bleiben.
Quellen: The Hacker News | BSI Cybersicherheitswarnungen | BleepingComputer
