WP2Shell: BSI warnt vor kritischer WordPress-Lücke – Update jetzt einspielen
Am 17. Juli 2026 hat das WordPress-Projekt ein Sicherheitsupdate veröffentlicht, das zwei Schwachstellen im Kern des Content-Management-Systems schließt. Einen Tag später hat das BSI dazu eine Cybersicherheitswarnung herausgegeben (Meldung 2026-271984-1032) und ausdrücklich darauf hingewiesen, dass bereits ein Proof-of-Concept verfügbar ist.
Was genau betroffen ist
Die erste Schwachstelle, CVE-2026-60137, liegt in der fehlerhaften Bereinigung des Parameters `author__not_in` bei WP_Query-Abfragen und lässt sich für eine SQL-Injection nutzen.
Die zweite, CVE-2026-63030, hat vom Entdeckerteam den Namen „WP2Shell" bekommen. Sie steckt in der REST-API von WordPress. Für sich genommen wäre jede der beiden Lücken bereits unangenehm – gefährlich wird die Kombination: Über die REST-API lässt sich die SQL-Injection ohne jede Anmeldung auslösen, und daraus wird eine Remote Code Execution. Ein Angreifer braucht also weder Zugangsdaten noch eine Interaktion durch Redakteure oder Besucher.
Betroffene Versionen
Betroffen sind die WordPress-Versionen 6.8 bis 7.0.1. Bereinigt sind die Versionen 6.8.6, 6.9.5 und 7.0.2.
Was Sie jetzt tun sollten
- Prüfen Sie die WordPress-Version Ihrer Installation (Dashboard → Aktualisierungen).
- Spielen Sie das Update auf 6.8.6, 6.9.5 oder 7.0.2 ein – je nachdem, welchem Versionszweig Sie folgen.
- Aktivieren Sie automatische Updates für Kern-Sicherheitsreleases, falls noch nicht geschehen.
- Kontrollieren Sie nach dem Update Benutzerkonten mit Administratorrechten und prüfen Sie das Verzeichnis `wp-content/uploads` auf unerwartete PHP-Dateien.
- Bei Verdacht auf Kompromittierung: Passwörter und Salts in der `wp-config.php` erneuern.
