Kritische WordPress-Sicherheitslücke „WP2Shell“: Jetzt Website prüfen und sofort handeln
Eine der schwerwiegendsten WordPress-Sicherheitslücken der vergangenen Jahre sorgt derzeit weltweit für Aufsehen. Die als WP2Shell bekannte Schwachstelle betrifft den WordPress Core selbst – also nicht ein einzelnes Plugin oder Theme – und ermöglicht Angreifern unter bestimmten Voraussetzungen die vollständige Übernahme einer Website. Sicherheitsforscher berichten bereits von aktiven Angriffen auf verwundbare Systeme.
Was ist WP2Shell?
WP2Shell bezeichnet eine Angriffskette aus zwei Sicherheitslücken (CVE-2026-63030 und CVE-2026-60137), die zusammen eine Remote Code Execution (RCE) ermöglichen. Besonders kritisch: Für den Angriff sind weder ein Benutzerkonto noch zusätzliche Plugins erforderlich. Betroffen ist der WordPress Core selbst. Dadurch können Angreifer Schadcode ausführen, Administrator-Konten erstellen, Webshells installieren und die vollständige Kontrolle über eine Website übernehmen.
Welche WordPress-Versionen sind betroffen?
Nach aktuellem Stand gelten insbesondere folgende Versionen als verwundbar:
- WordPress 7.0.0 bis 7.0.1
- WordPress 6.9.0 bis 6.9.4
Für die Version 6.8.x besteht ebenfalls eine sicherheitsrelevante SQL-Injection-Schwachstelle, die zwar nicht die vollständige Angriffskette ermöglicht, aber dennoch dringend behoben werden sollte. Die Sicherheitsupdates wurden mit den Versionen 7.0.2, 6.9.5 und 6.8.6 veröffentlicht.
Welche Risiken bestehen?
Ein erfolgreicher Angriff kann schwerwiegende Folgen haben:
- Erstellung unbekannter Administrator-Konten
- Installation von Schadsoftware oder Webshells
- Manipulation oder Diebstahl von Daten
- Weiterleitung auf Spam- oder Phishing-Websites
- Missbrauch der Website für Malware oder Spam
- Verlust sensibler Kundendaten
- Beeinträchtigung von SEO-Rankings und Unternehmensimage
Da die Schwachstelle bereits aktiv ausgenutzt wird, sollten betroffene Websites unverzüglich aktualisiert und überprüft werden.
So schützen Sie Ihre WordPress-Website
Ein einfaches Update reicht in vielen Fällen nicht aus. Wurde eine Website bereits kompromittiert, können Schadcode oder versteckte Administrator-Konten auch nach dem Update bestehen bleiben.
Wir empfehlen deshalb:
- WordPress sofort auf die aktuelle Sicherheitsversion aktualisieren
- Alle Administrator-Konten überprüfen
- Plugins und Themes auf Aktualität kontrollieren
- Die Website auf Schadcode und verdächtige Dateien untersuchen
- Server- und WordPress-Logs analysieren
- Sicherheitslösungen wie Firewalls und Malware-Scanner einsetzen
- Regelmäßige Wartung und Sicherheitsupdates durchführen
Kostenlose Sicherheitsprüfung für Ihre WordPress-Website
Als Full-Service-Werbeagentur mit eigener WordPress-Entwicklung unterstützen wir Unternehmen bei der Absicherung ihrer Websites. Wir prüfen Ihre Installation auf Anzeichen einer Kompromittierung, kontrollieren Benutzerkonten, analysieren sicherheitsrelevante Dateien und unterstützen Sie bei der Wiederherstellung einer sicheren WordPress-Umgebung.
Je früher eine kompromittierte Website erkannt wird, desto geringer sind mögliche Folgeschäden für Unternehmen, Kundund Suchmaschinenrankings.
Lassen Sie Ihre WordPress-Website jetzt professionell überprüfen und schützen Sie Ihre digitale Präsenz vor aktuellen Cyberangriffen.
Jetzt unverbindliche Beratung sichern