wp2shell: eine kritische Lücke im Kern von WordPress ermöglicht die Ausführung von Code aus der Ferne ohne Authentifizierung

Ein Fehler in der Kanalisation im WordPress-Kern ermöglicht es einem nicht authentifizierten Angreifer, beliebigen Code auf dem Server auszuführen. Sofortiges Patchen.

Fakten

The Hacker News berichtet am 17. Juli 2026 über eine als wp2shell bezeichnete Schwachstelle, die den Kern von WordPress betrifft. Laut dem Artikel kann ein nicht authentifizierter Angreifer eine Remote-Code-Ausführung (RCE - Remote Code Execution) über eine manipulierte HTTP-Anfrage auslösen, ohne dass ein Benutzerkonto oder ein anfälliges Drittanbieter-Plugin erforderlich ist.

• Umfang: Kern von WordPress (kein Plugin), daher sind potenziell die überwiegende Mehrheit der Installationen betroffen.
• Vektor: unauthentifizierte HTTP-Anfrage → RCE.
• Veröffentlichung: Artikel von The Hacker News, 17. Juli 2026.

Wer ist betroffen

Jede nicht gepatchte WordPress-Instanz, die im Internet exponiert ist. WordPress macht mehr als 40 % des Web aus (wiederkehrende Zahl der W3Techs-Barometer), daher ist die Angriffsfläche massiv. Shared-Hosting-Anbieter und WooCommerce-E-Commerce-Websites sind in erster Linie betroffen - eine kompromittierte Handelswebsite bedeutet Kreditkarten, Kundenkonten und maliziöse Weiterleitungen in Kaskade.

Analyse

Eine unauthentifizierte RCE im WordPress-Kern ist das schlimmstmögliche Szenario für die Plattform: weder Social Engineering noch ein Konto, das gestohlen werden muss, noch ein exotisches Plugin - ein einfacher Internet-Scanner reicht aus, um massiv auszunutzen. Die Community hat bereits solche Ereignisse erlebt (die REST-API-Schwachstellen von 2017 haben mehr als eine Million Websites in wenigen Tagen defaced). Der Name wp2shell deutet auf das Ziel des Exploits hin: direkt vom Web zur Shell auf dem Server zu wechseln.

Das klassische Muster nach der Offenlegung: massives Internet-Scannen innerhalb von 24-72 Stunden, Massenausnutzung zur Ablage von Webshells, dann diskrete Persistenz für Crypto-Mining, SEO-Spam oder wiederverkauften Zugriff auf Underground-Märkten.

Was jetzt zu tun ist

• Sofort patchen: Aktualisieren Sie auf die neueste Version des WordPress-Kerns, sobald der offizielle Patch veröffentlicht wird (wordpress.org/news beobachten).
• Automatische Updates überprüfen: WP_AUTO_UPDATE_CORE aktivieren für Minor-Patches.
• Auditieren: find /var/www -name "*.php" -mtime -3 um kürzlich erstellte PHP-Dateien zu finden (Kandidaten für Webshells).
• WAF vorab: Cloudflare, Wordfence oder Ähnliches, mit aktuellen Regeln.
• Geheimnisse rotieren: API-Schlüssel, Admin-Passwörter, Salze wp-config.php (über wordpress.org/secret-key).

Was noch zu bestätigen bleibt

Zum Zeitpunkt der Abfassung dieses Artikels bleibt der Artikel von The Hacker News unsere primäre Quelle. Die CVE-Nummer, die genaue Version der betroffenen Versionen und das Vorhandensein eines öffentlichen PoC müssen auf den offiziellen Advisories (wordpress.org, MITRE CVE, NVD) überprüft werden, sobald sie veröffentlicht werden. Wir werden diese Notiz aktualisieren, sobald die Bestätigung erfolgt.