wp2shell: Kritische Sicherheitslücke in WordPress Core – was Shopbetreiber jetzt wissen müssen

Stand: 19. Juli 2026 – Dieser Beitrag behandelt aktuelle Ereignisse. Die Situation kann sich weiterentwickeln, prüfe daher vor Umsetzung ggf. die offizielle WordPress-Sicherheitsmeldung.

Was ist passiert?

Am 17. Juli 2026 hat WordPress ein Notfall-Sicherheitsupdate veröffentlicht. Die Version 7.0.2 schließt eine kritische Sicherheitslücke im WordPress-Core, die inzwischen unter dem inoffiziellen Namen „wp2shell“ bekannt ist und als CVE-2026-63030 geführt wird.

Die Lücke erlaubt einem nicht authentifizierten Angreifer, auf einer Standardinstallation von WordPress – ganz ohne Plugins – beliebigen Code auszuführen (Remote Code Execution, RCE). Ausgangspunkt ist eine SQL-Injection über die REST-API-Batch-Route unter /wp-json/batch/v1. Über diese Kette gelangt ein Angreifer letztlich zur Codeausführung auf dem Server.

Wegen des Schweregrads hat WordPress.org für betroffene Installationen automatische Zwangsupdates aktiviert. Die technischen Details der Lücke wurden von den Entdeckern (Adam Kues, Searchlight Cyber) bewusst zurückgehalten, um Betreibern Zeit zum Patchen zu geben.

Betroffene Versionen

• WordPress 6.9.0 bis 6.9.4 → behoben in 6.9.5
• WordPress 7.0.0 bis 7.0.1 → behoben in 7.0.2
• WordPress 7.1 Beta → behoben in 7.1 Beta2

Installationen unterhalb von Version 6.8 sind von dieser RCE nicht betroffen. Für Version 6.8 wurde im selben Update-Zyklus eine separate SQL-Injection-Lücke geschlossen; hier ist ein Upgrade auf 6.8.6 erforderlich.

Hinweis: Diese Angaben stammen aus den bislang veröffentlichten Advisories. Solltest du eine ältere oder stark angepasste WordPress-Installation betreiben, empfiehlt sich eine individuelle Prüfung.

Warum das auch für E-Commerce-Betreiber relevant ist

WordPress selbst ist zwar kein Shopsystem, wird aber sehr häufig in Kombination mit WooCommerce als Shop eingesetzt, und auch reine Shopware- oder Modified-eCommerce-Händler betreiben oft parallel einen WordPress-Blog, eine Landingpage oder ein Marketing-Backend auf derselben Domain oder Infrastruktur. Ein kompromittierter WordPress-Bereich kann so zum Einfallstor für den gesamten Server werden, auch wenn der eigentliche Shop auf einem anderen System läuft.

Wer WordPress in irgendeiner Form betreibt – als Shop, Blog oder Content-Ergänzung zum Shopsystem – sollte diese Lücke ernst nehmen. Schätzungen von Searchlight Cyber gehen von weltweit über 500 Millionen WordPress-Installationen aus, entsprechend groß ist die potenziell exponierte Angriffsfläche.

Was jetzt zu tun ist

1. WordPress-Version prüfen – im Dashboard unter „Dashboard → Updates“ nachsehen, nicht nur auf automatische Updates verlassen.
2. Sofort aktualisieren – auf 7.0.2 beziehungsweise 6.9.5 im entsprechenden Versionszweig.
3. Prüf-Tool nutzen – mit Vorbehalt – Searchlight Cyber stellt unter wp2shell.com ein Werkzeug bereit, mit dem sich die eigene Instanz testen lässt. Der Dienst war laut Berichten zeitweise nicht erreichbar. Zusätzlich gilt: Blendet ein Security-Plugin wie AIOS (All In One WP Security) die WordPress-Versionsnummer nach außen aus, meldet wp2shell.com die Seite fälschlich als „sicher“, unabhängig von der tatsächlich installierten Version. Der Test prüft also offenbar primär, ob die Version auslesbar ist, nicht die Version selbst. Ein „sicher“-Ergebnis ist damit kein verlässlicher Nachweis, dass die Lücke geschlossen ist – die tatsächliche Version gehört unabhängig davon geprüft, etwa direkt im WordPress-Dashboard oder über die Datei wp-includes/version.php.
4. Falls ein Update nicht sofort möglich ist, als Übergangsmaßnahme:
   • Ein Plugin einsetzen, das unauthentifizierten Zugriff auf die REST-API vollständig blockiert, oder
   • /wp-json/batch/v1 sowie den Query-Parameter rest_route=/batch/v1 auf WAF-Ebene sperren.

   Beide Maßnahmen können legitimen REST-API-Traffic beeinträchtigen und sollten nur als kurzfristige Notlösung bis zum eigentlichen Update dienen.

Einordnung

Bemerkenswert ist, dass im selben WordPress-Release gleich zwei SQL-Injection-Probleme behoben wurden. SQL-Injection gilt fachlich seit Jahren als weitgehend gelöstes Problem, taucht aber weiterhin in Core-Software und Abhängigkeiten auf – häufig für nicht authentifizierte Nutzer erreichbar, bevor ein Fix existiert. Das unterstreicht, wie wichtig es ist, Update-Prozesse nicht nur für das Shopsystem selbst, sondern für die gesamte begleitende Infrastruktur konsequent zu pflegen.

Fazit

Die wp2shell-Lücke ist ein Fall für sofortiges Handeln, nicht für die nächste Wartungsplanung. Wer WordPress in irgendeiner Form betreibt, sollte die Version umgehend prüfen und aktualisieren. Für alle anderen Systeme – Shopware, Modified eCommerce – gilt unabhängig davon: Eine Bestandsaufnahme, welche Nebensysteme (Blogs, Landingpages, Marketing-Tools) auf derselben Infrastruktur laufen, ist eine sinnvolle Gelegenheit, die eigene Angriffsfläche insgesamt zu überprüfen.

Quellen: WordPress.org Sicherheitsankündigung vom 17. Juli 2026, Searchlight Cyber, Aikido Security. Der Hinweis zum False-Negative-Verhalten von wp2shell.com bei aktivem Versions-Hiding (z. B. via AIOS) basiert auf einem eigenen Test und ist keine offizielle Angabe von Searchlight Cyber. Diese Angaben spiegeln den Informationsstand zum Zeitpunkt der Veröffentlichung wider.