wp2shell (CVE-2026-63030): Eine Pre-Auth-RCE im WordPress-Core und was Sie jetzt tun sollten

wp2shell ist eine Pre-Authentication-Schwachstelle zur Remote Code Execution im WordPress-Core. Das bedeutet, dass eine anonyme Anfrage – ohne Login und ohne dass ein verwundbares Plugin erforderlich wäre – auf einer Standardinstallation Code ausführen kann. Sie verkettet zwei am 17. Juli 2026 offengelegte Fehler: eine SQL-Injection in WordPress' WP_Query (CVE-2026-60137) und eine Verwechslung der REST-API-Batch-Route (CVE-2026-63030). Öffentliche Exploits tauchten binnen Stunden auf, reale Angriffe wurden innerhalb weniger Tage bestätigt, und CISA nahm beide Fehler in seinen Known-Exploited-Vulnerabilities-Katalog auf. Wenn Sie eine selbst gehostete WordPress-Website auf 6.9.x oder 7.0.x betreiben, ist die einzige sichere Annahme, dass Sie ein Ziel sind: Aktualisieren Sie umgehend auf 6.9.5 oder 7.0.2 und prüfen Sie anschließend, ob jemand vor Ihrem Patch eingedrungen ist.

Was ist wp2shell und warum ist es so gefährlich?

wp2shell ist der Name, den Forscher von Searchlight Cyber einer Zwei-Fehler-Kette im WordPress-Core selbst gaben – nicht in einem Plugin oder Theme. Genau diese Unterscheidung macht die Sache so schwerwiegend. Ein Plugin-Fehler betrifft die Websites, die dieses Plugin installiert haben; ein Core-Fehler betrifft ein blankes, frisch installiertes WordPress ohne jegliche Ergänzungen. WordPress betreibt schätzungsweise über 500 million Websites, und jede davon auf einer betroffenen Version stellt den verwundbaren Endpunkt standardmäßig bereit.

Die Schwere liegt in der Verkettung. Tenable bewertet den REST-Batch-Route-Fehler, CVE-2026-63030, mit einem CVSS-Wert von 9.8, und die SQL-Injection, CVE-2026-60137, mit 5.9. Für sich genommen ist jede davon ein Problem; zusammen erlauben sie es einem nicht authentifizierten Angreifer, von einer einzigen HTTP-Anfrage zu einer vollständigen Administrator-Übernahme zu gelangen. Keine Zugangsdaten, keine Benutzerinteraktion, kein zweiter Brückenkopf erforderlich.

Wie die Exploit-Kette funktioniert

Das Raffinierte daran ist, wie die beiden Fehler einander decken. WordPress' Abfrageparameter author__not_in wird direkt in rohes SQL interpoliert, wenn er als skalare Zeichenkette übergeben wird – eine klassische Injection, nur dass die normale Anfragevalidierung die fehlerhafte Eingabe verwirft, bevor sie die Datenbank erreicht.

Genau hier kommt die Batch-API ins Spiel. Der Endpunkt /wp-json/batch/v1 validiert und führt Unteranfragen in zwei separaten Schleifen aus. Wenn wp_parse_url() an einem präparierten Unteranfrage-Pfad scheitert, wird der Fehler im Validierungs-Array vermerkt, die Anfrage aber nicht aus dem Ausführungs-Array entfernt. Die beiden Listen geraten aus dem Takt, die Validierung wird übersprungen, und ein rekursiver Batch-Aufruf schmuggelt eine UNION-basierte SQL-Injection direkt hindurch. Von dort verkettet der Exploit WordPress-Interna, um ein Administrator-Konto anzulegen, meldet sich damit an und lädt ein bösartiges Plugin hoch – und dieses Plugin ist die Nutzlast zur Codeausführung. Eine Anfrage hinein, eine Web-Shell heraus.

Welche WordPress-Versionen sind betroffen?

Die vollständige RCE-Kette funktioniert nur dort, wo die Batch-Route existiert, die WordPress mit 6.9 einführte. Die SQL-Injection allein reicht weiter zurück. Gepatchte Releases wurden über alle drei unterstützten Zweige hinweg ausgeliefert.

Zweig	Betroffene Versionen	Behoben in	Angriffsfläche
7.0.x	7.0.0 – 7.0.1	7.0.2	Vollständige Pre-Auth-RCE
6.9.x	6.9.0 – 6.9.4	6.9.5	Vollständige Pre-Auth-RCE
6.8.x	6.8.0 – 6.8.5	6.8.6	Nur SQL-Injection (CVE-2026-60137)

Weil der Fehler im Core steckt und das Risiko kritisch ist, aktivierte das WordPress.org-Sicherheitsteam erzwungene automatische Updates für Websites auf betroffenen Versionen. Das hilft, aber erzwungene Updates werden schrittweise ausgerollt und lassen sich in wp-config.php deaktivieren – warten Sie also nicht darauf, angestoßen zu werden; holen Sie sich das Update selbst.

Wird wp2shell gerade jetzt ausgenutzt?

Ja, und zwar schnell. Mehrere Proof-of-Concept-Exploits erschienen innerhalb von Stunden nach der Offenlegung auf GitHub, einige davon KI-gestützt. Angriffstelemetrie folgte fast unmittelbar: Die Sicherheitsfirma watchTowr berichtete, dass ihre Honeypots Zehntausende von Ausnutzungsversuchen von 13 verschiedenen Angreifer-IPs aus Europa und Asien protokollierten, wobei binnen eines Tages erfolgreiche Kompromittierungen im Gange waren. Am 21. Juli 2026 wurden beide CVEs in den Known-Exploited-Vulnerabilities-Katalog der CISA aufgenommen – das deutlichste Signal dafür, dass dies aktiv und nicht theoretisch ist.

Entscheidend für Verteidiger ist das Verhalten nach der Ausnutzung. Angreifer haben mehr als 100 Backdoor-Administrator-Konten angelegt, eine rund 150 KB große PHP-Web-Shell abgelegt, die als Sicherheits-Plugin namens "CMSmap" getarnt war, Admin-Benutzernamen und Datenbank-Zugangsdaten abgegriffen und in einigen Fällen versucht, einen Go-basierten Remote-Access-Trojaner namens Overlord RAT zu installieren. Mit anderen Worten: Das Patchen eines bereits getroffenen Systems vertreibt den Angreifer nicht, weil er sich einen Schlüssel zurückgelassen hat.

Jetzt patchen: die Fünfzehn-Minuten-Lösung

Für alle, die ihr eigenes WordPress betreiben, ist die Reihenfolge der Prioritäten einfach:

1. Aktualisieren Sie den Core auf 6.9.5, 7.0.2 oder 6.8.6. Über das Dashboard ist es ein Klick; über WP-CLI lautet der Befehl wp core update && wp core update-db. Dies ist die einzige echte Lösung; alles Weitere unten ist ein Notbehelf.
2. Blockieren Sie den Batch-Endpunkt, wenn Sie nicht sofort aktualisieren können. Verweigern Sie Anfragen an /wp-json/batch/v1 und das äquivalente ?rest_route=/batch/v1 an Ihrem Webserver oder Ihrer WAF. Cloudflare hat eine verwaltete WAF-Regel an alle Tarife ausgespielt, einschließlich der kostenlosen, sodass Websites dahinter automatisch einen Grundschutz erhalten.
3. Beschränken Sie den anonymen REST-Zugriff mit einem Plugin oder einem kleinen must-use-Filter, der auf der REST-API eine Authentifizierung verlangt und so den Injection-Pfad schließt.
4. Bestätigen Sie anschließend die Version. Prüfen Sie Dashboard → Updates oder führen Sie wp core version aus, damit ein hängengebliebenes Auto-Update Sie nicht in dem Glauben lässt, Sie seien sicher, obwohl Sie es nicht sind.

Wenn Sie Server administrieren, ist die eigentliche Lehre hier, Core-Updates als ein Sicherheitsereignis am selben Tag zu behandeln statt als monatliche Pflichtaufgabe; unser Leitfaden zur sicheren ersten Stunde auf einem neuen VPS zeigt, wie Sie diese Disziplin von Anfang an verankern. Wir betreiben die Infrastruktur dieser Website über WaseerHost, unser Hosting-Unternehmen, und Core-Fehler wie dieser sind genau der Grund, warum verwaltete WordPress-Tarife Sicherheits-Releases in dem Moment erzwingen, in dem sie ausgeliefert werden.

Schon gepatcht? Prüfen Sie zuerst, ob Sie getroffen wurden

Dies ist der Schritt, den die meisten Anleitungen überspringen, und es ist derjenige, der Sie rettet. Jede Sicherheitsfirma, die wp2shell verfolgt, wiederholt dieselbe Warnung: Untersuchen Sie Ihre Website auf Anzeichen einer Kompromittierung, unabhängig davon, ob Sie gepatcht haben, denn das Aktualisieren des Core ändert nichts an einer bereits eingerichteten Backdoor. Gehen Sie dies auf jedem Server durch, der exponiert war:

• Prüfen Sie die Administrator-Konten. wp user list --role=administrator sollte nur Personen anzeigen, die Sie kennen. Das Kennzeichen dieses Angriffs sind unerwartete Admin-Benutzer, manchmal Dutzende davon. Löschen Sie alle, die Sie nicht selbst angelegt haben, und setzen Sie die Passwörter der verbleibenden zurück.
• Durchsuchen Sie Ihre Zugriffslogs mit grep. Suchen Sie nach Treffern auf der Batch-Route: grep -E "batch/v1" access.log. Anfragen an /wp-json/batch/v1 oder ?rest_route=/batch/v1 von unbekannten IPs, insbesondere gehäuft vor Ihrem Patch-Zeitpunkt, sind der Fingerabdruck der Ausnutzung.
• Suchen Sie nach der Web-Shell. Halten Sie Ausschau nach kürzlich geänderten oder überdimensionierten PHP-Dateien unter wp-content/plugins und wp-content/uploads sowie nach einem Plugin, das Sie nie installiert haben (der Name "CMSmap" wurde beobachtet, aber gehen Sie davon aus, dass er umbenannt werden kann). find wp-content -name '*.php' -mtime -7 ist ein schneller erster Durchgang.
• Rotieren Sie Ihre Geheimnisse. Sollte es irgendein Anzeichen für eine Kompromittierung geben, ersetzen Sie die Authentifizierungsschlüssel und Salts in wp-config.php, erzwingen Sie ein Zurücksetzen der Passwörter für alle Benutzer und rotieren Sie die Datenbank-Zugangsdaten, die der Angreifer möglicherweise exfiltriert hat.

Wenn Sie eine Backdoor finden, ist Patchen keine Beseitigung: Stellen Sie ein bekanntermaßen sauberes Backup wieder her, das vor dem Offenlegungsdatum erstellt wurde, und aktualisieren Sie dann. Eine so saubere Kompromittierung gleicht ihrem Wesen nach eher einem Lieferketten-Einbruch als einem Plugin-Fehler: Die Vertrauensgrenze war die Plattform selbst.

Häufig gestellte Fragen

Bin ich betroffen, wenn meine Website keine zusätzlichen Plugins hat? Ja, und genau das ist der springende Punkt. wp2shell nutzt den WordPress-Core aus, sodass eine Standardinstallation mit null Plugins auf einer betroffenen Version (6.9.0–6.9.4 oder 7.0.0–7.0.1) für die vollständige Remote-Code-Execution-Kette anfällig ist. Das Hinzufügen oder Entfernen von Plugins ändert nichts an Ihrer Angriffsfläche gegenüber dem Core-Fehler.

Entfernt ein Update einen Angreifer, der bereits eingedrungen ist? Nein. Das Patchen schließt die Tür, aber wenn jemand hindurchgegangen ist, bevor Sie gepatcht haben, kann er ein Backdoor-Administrator-Konto oder eine Web-Shell hinterlassen haben, die das Update überdauert. Diese müssen Sie separat aufspüren und entfernen oder ein Backup von vor der Offenlegung wiederherstellen.

Was ist, wenn ich nicht sofort aktualisieren kann? Blockieren Sie /wp-json/batch/v1 und ?rest_route=/batch/v1 an Ihrer Firewall oder WAF und stellen Sie die Website hinter einen Dienst wie Cloudflare, der eine verwaltete Regel ausgeliefert hat. Das sind Abschwächungen, keine Lösungen – planen Sie das Core-Update also so bald wie möglich ein und überprüfen Sie anschließend die Version.

Ist ein vollständig verwalteter WordPress-Host sicher? Weitgehend, sofern der Host das Core-Sicherheits-Release erzwungen ausgerollt hat, was seriöse verwaltete Anbieter binnen Stunden taten. Es lohnt sich dennoch, Ihre Version zu bestätigen und auf betrügerische Admin-Konten zu prüfen, denn ein verwaltetes Control Panel bereinigt eine Kompromittierung, die vor dem Patch stattfand, nicht automatisch.

Steht dies im Zusammenhang mit der Patch-Welle vom Juni 2026? Nein, es handelt sich um ein separates WordPress-Core-Problem, aber es fällt in eine ohnehin schon üble Phase. Werfen Sie einen Blick in unsere Übersicht zum Rekord-Patch-Tuesday im Juni 2026, um den größeren Zusammenhang zu verstehen, wie schnell kritische Fehler im Jahr 2026 zu Waffen gemacht werden.

Sources

• Strobes — wp2shell: Pre-Auth RCE in WordPress Core: Offenlegungsdatum und Überblick über die Kette.
• Tenable — wp2shell (CVE-2026-63030, CVE-2026-60137) FAQ: CVSS-Werte, betroffene/behobene Versionen und WAF-Abschwächung.
• Rapid7 — CVE-2026-63030: wp2shell RCE in WordPress Core: Mechanik der Exploit-Kette und Aufnahme in CISA KEV.
• BleepingComputer — WordPress Core "wp2shell" RCE flaws get public exploits: Entdecker, erzwungene Auto-Updates und Ausmaß.
• The Hacker News — WordPress wp2shell exploitation grows: In-the-Wild-Kompromittierungsindikatoren und Aktivität nach der Ausnutzung.