Ende Juli wurde eine kritische Sicherheitslücke in WordPress bekannt, die unter dem Namen „wp2shell“ bekannt wurde. Sie war für mich der Anlass, meinen Newsletter nach langer Pause zu reaktivieren, denn genau solche Themen sind es, über die ich künftig wieder regelmäßiger schreiben möchte.
Was ist eigentlich passiert?
Sicherheitsforscher von Searchlight Cyber haben zwei einzelne Schwachstellen im WordPress-Kern gefunden, die sich zu einem Angriff verketten lassen: eine SQL-Injection und ein Fehler im Routing der REST-API, konkret im sogenannten Batch-Endpunkt, der seit 2020 standardmäßig aktiv ist. In der Kombination konnten Angreifer dadurch ohne Login eigenen Code auf einer Webseite ausführen, und das bei einer Standardinstallation, ganz ohne zusätzliche Plugins.
Das Besondere an dieser Lücke war, dass keine Authentifizierung nötig war: Ein einfacher, anonymer Aufruf der REST-API reichte theoretisch aus, um eine Webseite zu kompromittieren. Solche „Pre-Auth Remote Code Execution“-Lücken gehören zu den kritischsten Sicherheitsproblemen, die es in einem CMS geben kann.
Wer war betroffen?
Konkret betroffen waren die WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1. WordPress hat sehr schnell reagiert und die Lücke mit den Versionen 6.9.5 und 7.0.2 geschlossen. Die ältere 6.8.x-Reihe war nur von der SQL-Injection-Komponente allein betroffen, hier wurde mit Version 6.8.6 nachgebessert. Alles vor Version 6.8 war von wp2shell überhaupt nicht betroffen.
Die gute Nachricht: Bei den meisten WordPress-Installationen laufen Sicherheitsupdates wie diese automatisch im Hintergrund, sodass ein großer Teil der Websites vermutlich ohnehin zeitnah geschützt war. Die weniger gute Nachricht: Automatische Updates funktionieren nicht immer zuverlässig, zum Beispiel wenn Hosting-Einstellungen oder bestimmte Sicherheits-Plugins dazwischenfunken.
Was das für dich bedeutet
Falls du eine eigene WordPress-Seite betreibst oder betreiben lässt, lohnt sich ein kurzer, aktiver Check, statt sich blind auf die Automatik zu verlassen:
- Schau im WordPress-Backend unter „Dashboard → Updates“ nach, welche Version aktuell installiert ist
- Prüfe, ob du auf mindestens 6.9.5 bzw. 7.0.2 stehst (oder neuer)
- Falls deine REST-API bereits über ein Sicherheitsplugin zusätzlich abgesichert ist (z. B. mit Passwortschutz), bist du gegen genau diesen Angriffsweg zusätzlich geschützt, unabhängig von der reinen Versionsfrage
Warum ich als Wartungsdienstleister trotzdem aktiv nachfrage
Auch wenn ich bei meinen Wartungskunden die REST-API grundsätzlich zusätzlich abgesichert habe, verlasse ich mich nicht allein darauf. Ich prüfe aktiv, ob die WordPress-Version wirklich aktuell ist, denn Auto-Update-Systeme laufen nicht immer hundertprozentig zuverlässig. Genau das ist für mich der Kern einer guten Wartung: nicht nur eine einzelne Schutzmaßnahme installieren, sondern regelmäßig nachprüfen, ob wirklich alles zusammenpasst.
Falls du unsicher bist, welche Version deine Seite hat oder was konkret zu tun ist, melde dich einfach, ich schaue es mir gerne kurz an.
Über mich
Ich bin Günther A. Biebl und unterstütze dich mit WordPress-Seminaren, WordPress SEO und WordPress Beratung. Ich helfe Unternehmen dabei, ihre WordPress‑Webseite technisch sauber, sicher und suchmaschinenfreundlich aufzusetzen. Wenn du Unterstützung brauchst, melde dich gerne.
Hinweis: Diesen Beitrag habe ich mit KI-Unterstützung recherchiert und formuliert, die fachliche Einordnung, Prüfung und Verantwortung liegen bei mir
