Das Wichtigste in Kürze:
WordPress hat am 17. Juli 2026 dringende Sicherheitsupdates veröffentlicht. Die Versionen 6.8.6, 6.9.5 und 7.0.2 schließen zwei Schwachstellen im WordPress Core. Aufgrund der Schwere des Vorfalls wurden für betroffene Installationen sogar erzwungene automatische Updates aktiviert.
Besonders gefährdet sind WordPress 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. Dort lassen sich die beiden Schwachstellen zu einer Angriffskette kombinieren, die eine Remote Code Execution ohne Anmeldung ermöglichen kann. Ein Angreifer könnte dadurch vollständige administrative Kontrolle über eine Website erlangen.
webgo blockiert den dabei verwendeten Batch API Endpunkt. Zugriffe auf /wp-json/batch/v1 und entsprechende Varianten werden seit dem 18. Juli 2026 gegen 15 Uhr auf allen Shared Webhosting Servern mit dem HTTP Statuscode 403 Forbidden abgewiesen.
Die Sperre ist nur eine zusätzliche Schutzschicht. Sie blockiert einen zentralen Bestandteil der bekannten Angriffskette, behebt aber nicht die Sicherheitslücken in deiner WordPress Installation. Du musst WordPress deshalb trotzdem umgehend aktualisieren.
Was ist bei WordPress passiert?
Das WordPress Sicherheitsteam veröffentlichte am 17. Juli 2026 mehrere Sicherheitsupdates für den WordPress Core. Geschlossen wurden eine SQL Injection Schwachstelle in WP_Query und ein Fehler bei der Verarbeitung von Batch Anfragen über die REST API. In Kombination können beide Probleme auf bestimmten WordPress Versionen zur Ausführung von Schadcode führen.
Die kombinierte Angriffskette wird als wp2shell bezeichnet. Sie ist besonders kritisch, weil für einen erfolgreichen Angriff weder ein Benutzerkonto noch ein verwundbares Plugin oder Theme erforderlich ist. Eine öffentlich erreichbare und ungepatchte WordPress Installation kann als Angriffsfläche ausreichen.
Wordfence bezeichnet wp2shell als die erste kritische Remote Code Execution im WordPress Core ohne erforderliche Anmeldung seit fast einem Jahrzehnt. Eine Remote Code Execution, kurz RCE, ermöglicht es Angreifern, Befehle oder eigenen Programmcode auf dem betroffenen System auszuführen.
Wie funktioniert die wp2shell Angriffskette?
wp2shell kombiniert zwei voneinander getrennte Schwachstellen:
CVE-2026-60137: SQL Injection über WP_Query
Die erste Sicherheitslücke betrifft den Parameter author__not_in der WordPress Klasse WP_Query. Diese Klasse wird verwendet, um Beiträge, Seiten und andere Inhalte aus der WordPress Datenbank abzufragen.
Bestimmte Eingaben wurden nicht ausreichend bereinigt. Wenn ein Plugin, Theme oder eine andere WordPress Funktion ungeprüfte Daten an diesen Parameter übergibt, kann ein Angreifer unter bestimmten Voraussetzungen manipulierte Datenbankabfragen einschleusen. Dieser Angriffstyp wird als SQL Injection bezeichnet.
Die Schwachstelle betrifft:
WordPress 6.8.0 bis 6.8.5
WordPress 6.9.0 bis 6.9.4
WordPress 7.0.0 bis 7.0.1
Behoben wurde sie in WordPress 6.8.6, 6.9.5 und 7.0.2.
CVE-2026-63030: Verwechslung von REST API Routen
Die zweite Schwachstelle befindet sich im Batch Endpunkt der WordPress REST API. Über diesen Endpunkt können mehrere API Anfragen gebündelt und gemeinsam verarbeitet werden.
Durch unterschiedliche Interpretationen bei der Prüfung und späteren Ausführung einer Anfrage konnten manipulierte Parameter unter Umständen eine Route erreichen, die diese Daten normalerweise bereinigt hätte. Diese sogenannte Route Confusion lässt sich mit der SQL Injection aus CVE-2026-60137 kombinieren.
Die kombinierte Angriffskette kann es ermöglichen, Datenbankinhalte zu manipulieren, ein Administratorkonto anzulegen und anschließend über reguläre WordPress Administratorfunktionen Schadcode auszuführen. Dazu könnte ein Angreifer beispielsweise ein manipuliertes Plugin hochladen.
CVE-2026-63030 betrifft:
WordPress 6.9.0 bis 6.9.4
WordPress 7.0.0 bis 7.0.1
Die Sicherheitslücke wurde mit WordPress 6.9.5 und 7.0.2 geschlossen.
Wie kritisch sind die Sicherheitslücken?
Die CVSS Bewertungen unterscheiden sich je nach bewertender Organisation. Im Eintrag der National Vulnerability Database führt CISA CVE-2026-60137 mit einem Wert von 9,1 und CVE-2026-63030 mit 7,5. WPScan bewertet die einzelnen Schwachstellen anhand anderer Annahmen teilweise anders.
Entscheidend ist daher nicht nur die isolierte Bewertung einer einzelnen Schwachstelle. Besonders kritisch ist die Kombination beider Fehler in WordPress 6.9 und 7.0. Das offizielle WordPress Advisory stuft die daraus entstehende Remote Code Execution als kritisch ein.
Welche WordPress Versionen sind betroffen?
WordPress Versionen vor 6.8 sind laut offizieller Veröffentlichung nicht von diesen beiden Schwachstellen betroffen. Trotzdem sollten auch ältere Installationen aktualisiert werden, da sie möglicherweise andere bekannte und bereits geschlossene Sicherheitslücken enthalten.
Gibt es bereits aktive Angriffe?
Die Sicherheitslücken stellen kein rein theoretisches Risiko dar. Wordfence registrierte bereits wenige Stunden nach Veröffentlichung der Sicherheitsupdates erste verdächtige Anfragen an den REST API Batch Endpunkt. Kurz darauf wurden konkrete SQL Injection Versuche beobachtet. Am 18. und 19. Juli 2026 erschienen zudem erste öffentlich verfügbare technische Nachbildungen und Proof of Concept Codes.
Am 21. Juli 2026 wurde CVE-2026-63030 außerdem in den Known Exploited Vulnerabilities Catalog der US Sicherheitsbehörde CISA aufgenommen. Dieser Katalog enthält Schwachstellen, für die eine tatsächliche Ausnutzung bekannt ist.
Ungepatchte und öffentlich erreichbare WordPress Installationen müssen deshalb als akut gefährdet betrachtet werden.
Welche Schutzmaßnahme hat webgo umgesetzt?
webgo hat den betroffenen REST API Endpunkt am 18. Juli 2026 gegen 15 Uhr zentral auf allen Shared Webhosting Servern blockiert.
Die Sperre umfasst insbesondere Aufrufe von:
/wp-json/batch/v1
Auch entsprechende Varianten des Endpunkts werden blockiert. Betroffene Anfragen erhalten seitdem die Antwort:
403 Forbidden
Der Statuscode 403 bedeutet, dass der Server die Anfrage erkannt hat, ihre Verarbeitung jedoch verweigert.
Die Blockade reduziert die unmittelbar nutzbare Angriffsfläche, weil der für die bekannte wp2shell Angriffskette relevante Batch Endpunkt nicht mehr öffentlich aufgerufen werden kann.
Welche Auswirkungen hat die Sperre auf deine Website?
Für die meisten WordPress Websites hat die Sperre keine erkennbaren Auswirkungen. Der blockierte Batch Endpunkt wird im normalen Betrieb vergleichsweise selten benötigt.
Alle anderen WordPress Funktionen, Webseitenaufrufe und REST API Endpunkte bleiben von dieser gezielten Sperre unberührt. Blockiert wird ausschließlich der für die bekannte Angriffskette relevante Endpunkt samt entsprechender Aufrufvarianten.
Nutzt eine Anwendung oder Integration diesen Endpunkt ausdrücklich, kann sie aktuell eine Antwort mit dem Statuscode 403 erhalten. In diesem Fall solltest du zuerst die installierte WordPress Version kontrollieren und unverzüglich auf eine sichere Version aktualisieren.
Schützt die webgo Sperre vollständig vor wp2shell?
Nein. Die serverseitige Sperre ist eine vorsorgliche Schutzmaßnahme, aber kein Ersatz für ein WordPress Update.
Sie blockiert einen wichtigen Zugriffsweg, über den die vollständige wp2shell Angriffskette bei WordPress 6.9 und 7.0 ausgeführt werden kann. Die zugrunde liegenden Programmfehler bleiben in einer veralteten WordPress Installation jedoch weiterhin vorhanden.
Insbesondere die SQL Injection aus CVE-2026-60137 betrifft auch WordPress 6.8 und kann unter bestimmten Voraussetzungen ausgelöst werden, wenn Plugins oder Themes nicht vertrauenswürdige Eingaben an den betroffenen WP_Query Parameter übergeben. Die Blockade des Batch Endpunkts behebt dieses grundsätzliche Problem nicht.
Die webgo Maßnahme gibt dir zusätzliche Zeit für das Update. Dauerhaften Schutz bietet nur eine gepatchte WordPress Version.
Was solltest du jetzt tun?
Prüfe Deine WordPress Version!
Melde dich im WordPress Administrationsbereich an und öffne:
Dashboard > Aktualisierungen
Alternativ wird die installierte Version häufig am unteren Rand des Dashboards angezeigt.
Wenn du WordPress über die Kommandozeile verwaltest, kannst du die Version mit WP CLI prüfen:
wp core versionInstalliere sofort das passende Sicherheitsupdate!
Aktualisiere mindestens auf eine der folgenden Versionen:
WordPress 6.8.6
WordPress 6.9.5
WordPress 7.0.2
Noch besser ist die jeweils neueste verfügbare stabile WordPress Version, sofern Deine Plugins, Themes und individuellen Anpassungen damit kompatibel sind.
WordPress selbst empfiehlt aufgrund der Schwere der Sicherheitslücken ein sofortiges Update. Bei unterstützten Installationen wurde der automatische Aktualisierungsprozess bereits angestoßen. Du solltest trotzdem kontrollieren, ob das Update tatsächlich erfolgreich abgeschlossen wurde.
Kontrolliere den Abschluss des Updates
Verlasse Dich nicht ausschließlich darauf, dass automatische Updates aktiviert sind. Prüfe nach dem Update erneut die angezeigte WordPress Version und teste die wichtigsten Funktionen Deiner Website.
Leere bei Bedarf verwendete Caches, damit keine alten Verwaltungsseiten oder Versionsinformationen angezeigt werden.
Überprüfe deine WordPress Installation
War deine Website nach dem 17. Juli 2026 mit einer verwundbaren Version öffentlich erreichbar, solltest du sie zusätzlich auf Auffälligkeiten untersuchen.
Kontrolliere insbesondere:
Unbekannte Benutzer mit Administratorrechten
Kürzlich installierte oder veränderte Plugins
Unbekannte Dateien im WordPress Verzeichnis
Unerwartete Änderungen an Themes
Verdächtige Weiterleitungen oder neue Inhalte
Auffällige Anmeldungen und Serveranfragen
Änderungen an der Datei wp-config.php
Wordfence empfiehlt ausdrücklich, Administratorenkonten, aktuelle Plugin Installationen und veränderte Dateien zu überprüfen. Da ein erfolgreicher Angriff vollständige Kontrolle ermöglichen kann, sollte jeder begründete Verdacht wie eine mögliche vollständige Kompromittierung behandelt werden.
Ändere Zugangsdaten bei einem konkreten Verdacht
Findest du verdächtige Benutzer, Dateien oder Änderungen, solltest du nicht nur WordPress aktualisieren. Ändere zusätzlich alle relevanten Zugangsdaten, darunter:
WordPress Administratorkonten
SFTP und SSH Zugänge
Datenbankpasswörter
Zugangsdaten zum webgo Kundenportal
API Schlüssel und externe Integrationen
Prüfe außerdem, ob unbekannte Administratoren, Cronjobs oder persistente Schadprogramme angelegt wurden. Ein reines Passwortupdate entfernt bereits vorhandenen Schadcode nicht.
Warum schnelle WordPress Updates so wichtig sind
Nach der Veröffentlichung eines Sicherheitsupdates können Angreifer die Änderungen im Quellcode analysieren. Durch den Vergleich der alten und neuen Version lassen sich behobene Schwachstellen häufig rekonstruieren.
Bei wp2shell begann die Suche nach verwundbaren Websites bereits wenige Stunden nach Veröffentlichung der Patches. Öffentlich zugängliche technische Details erhöhten den Zeitdruck zusätzlich.
Sicherheitsupdates sollten deshalb nicht über Tage oder Wochen aufgeschoben werden. Das gilt besonders für WordPress Core Updates, die kritische und ohne Anmeldung ausnutzbare Schwachstellen schließen.
Fazit: Jetzt WordPress Version prüfen und aktualisieren
wp2shell gehört zu den schwerwiegendsten WordPress Core Sicherheitsvorfällen der vergangenen Jahre. Die Angriffskette benötigt weder ein Benutzerkonto noch zwingend ein verwundbares Plugin oder Theme. Bei erfolgreicher Ausnutzung kann ein Angreifer vollständige Kontrolle über die betroffene Website erhalten.
webgo hat mit der zentralen Sperre des REST API Batch Endpunkts frühzeitig eine zusätzliche Schutzschicht für Kunden im Shared Webhosting eingerichtet. Die Maßnahme reduziert das unmittelbare Risiko und betrifft nur den gezielt blockierten Endpunkt.
Trotzdem bleibt das WordPress Sicherheitsupdate zwingend erforderlich. Prüfe deshalb jetzt deine installierte Version und aktualisiere auf WordPress 6.8.6, 6.9.5, 7.0.2 oder eine neuere sichere Version.
