wp2shell: WordPress-Sicherheitsupdates schließen kritische Lücken
Zwei kombinierte WordPress-Lücken ermöglichen Angriffe ohne Anmeldung; Sicherheitsupdates stehen seit dem 17. Juli 2026 bereit.
Zwei Sicherheitslücken im WordPress-Kern können in Kombination dazu führen, dass Angreifer ohne Anmeldung eigenen Programmcode auf dem Server ausführen. Wordfence greift diese als „wp2shell“ bezeichnete Angriffskette in seinem Rückblick auf Juli 2026 auf. Für Betreiber betroffener WordPress-Seiten ist die Installation der Sicherheitsupdates dringend, sofern sie noch aussteht.
Die Korrekturen erschienen bereits am 17. Juli 2026 mit WordPress 6.8.6, 6.9.5 und 7.0.2. Wegen der Schwere der Schwachstellen wurden für betroffene Versionen erzwungene automatische Aktualisierungen aktiviert. Die WordPress-Veröffentlichungshinweise stuften eines der Probleme als kritisch und das andere als schwerwiegend ein.
Wie die Angriffskette funktioniert
Eine der beschriebenen Schwachstellen betrifft die REST-API, eine Schnittstelle für den Datenaustausch mit WordPress. Bei gebündelten Anfragen kann eine fehlerhafte Zuordnung dazu führen, dass Anfragen an eine nicht vorgesehene Funktion weitergereicht werden und vorgesehene Prüfungen entfallen. Zusammen mit einer SQL-Injection, also dem Einschleusen von Datenbankbefehlen, kann dies die Ausführung fremden Codes auf dem Server ermöglichen.
Was das für Ihre Seite bedeutet
Prüfen Sie im WordPress-Dashboard, welche Version tatsächlich installiert ist. Verlassen Sie sich nicht allein darauf, dass automatische Updates aktiviert wurden. Falls die Sicherheitskorrekturen noch fehlen, sollten Sie die angebotene Aktualisierung umgehend einspielen. Kontrollieren Sie anschließend die wichtigsten Funktionen Ihrer Seite und gegebenenfalls Ihres Shops.