Millionen Websites weltweit laufen mit WordPress – und genau das macht eine aktuelle Sicherheitswarnung des Bundesamts für Sicherheit in der Informationstechnik (BSI) so brisant. Am 17. Juli 2026 hat das CMS-Projekt ein Update veröffentlicht, das zwei Schwachstellen schließt. In Kombination erlauben sie Angreifern, ohne jegliche Anmeldung Code auf fremden Servern auszuführen.

Das BSI stuft die Lage mit der Warnstufe 3 von 4, also "Orange", ein. Das bedeutet: Betroffene Betreiber müssen unverzüglich handeln, sonst drohen massive Störungen im laufenden Betrieb.

Wie die Schwachstellenkette funktioniert

Die beiden Lücken tragen die Bezeichnungen CVE-2026-60137 und CVE-2026-63030. Sicherheitsforscher haben ihnen den Namen "wp2shell" gegeben, weil sie zusammen einen kompletten Weg vom anonymen Zugriff bis zur Codeausführung eröffnen.

Die erste Lücke steckt in der Datenbankabfrage von WordPress: Ein Parameter namens "author__not_in" wird nicht sauber gefiltert, wodurch sich SQL-Injections einschleusen lassen. Die zweite Schwachstelle sitzt in der REST-API des Systems und macht daraus in Kombination eine vollständige Remote Code Execution.

Bei der Einschätzung des Risikos gehen die Meinungen auseinander. Während die WordPress-Community die erste Lücke nur mit mittlerem Schweregrad bewertet, stufen andere Stellen sie mit einem CVSS-Wert von 9,1 als kritisch ein. Für die komplette Angriffskette „wp2shell“ ergibt sich in der Summe ein Wert von 9,8 von möglichen 10 Punkten – nahezu das Maximum.

Erste Angriffe binnen weniger Stunden

Wie schnell sich Sicherheitslücken heute ausnutzen lassen, zeigt der zeitliche Verlauf des Falls deutlich. Bereits wenige Stunden nach der Veröffentlichung tauchten erste Machbarkeitsnachweise im Netz auf, kurz darauf folgten Berichte über tatsächliche Angriffe. Auch auf GitHub ist mittlerweile Beispielcode öffentlich einsehbar.

Betroffen sind laut BSI die WordPress-Versionen 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4, 7.0.0 bis 7.0.1 sowie die Beta von Version 7.1. Wer eine ältere Version als 6.8 nutzt, ist von beiden Lücken nicht betroffen. Sicherheit bieten die aktualisierten Versionen 6.8.6, 6.9.5, 7.0.2 sowie 7.1 Beta2, wobei 6.8.6 ausschließlich die SQL-Injection-Lücke schließt.

Eine Besonderheit macht den Fall zusätzlich pikant: Nach Angaben des IT-Sicherheitsunternehmens Searchlight Cyber, das die Lücke entdeckt und dokumentiert hat, half bei der Suche eine KI-Software des Typs GPT-5.6. Details zum verwendeten Prompt hat das Unternehmen in einem eigenen Blogbeitrag veröffentlicht.

Was Betreiber jetzt tun sollten

Das BSI rät allen Website-Betreibern, umgehend zu prüfen, ob ihre Seiten automatisch aktualisiert wurden. Wo das nicht der Fall ist, sollte das Update manuell eingespielt werden – ergänzend bietet Searchlight Cyber ein Online-Tool zur Überprüfung der eigenen Website an.

Wer seine Seite nicht rechtzeitig aktualisiert hat, sollte zudem nach Spuren einer möglichen Kompromittierung suchen. Als verdächtig gelten etwa ungewöhnliche Zugriffe auf bestimmte API-Pfade, neue Administratorkonten oder Anmeldeversuche mit auffälligen Benutzernamen. Im Verdachtsfall empfiehlt die Behörde, sämtliche Passwörter zurückzusetzen, da über die SQL-Lücke theoretisch alle gespeicherten Passwort-Hashes ausgelesen werden könnten.

Trotz der kritischen Bewertung rechnet das BSI nicht zwingend mit einer flächendeckenden Angriffswelle. Der eingeschränkte Kreis betroffener Versionen, verbreitete Web Application Firewalls und standardmäßig aktivierte automatische Updates würden das Risiko begrenzen. Dennoch bleibe die Gefahr real, dass einzelne verwundbare Seiten kurzfristig für Cryptomining, Backdoors oder Datendiebstahl missbraucht werden.