Kritische WordPress-Lücke „wp2shell“: Sofortiges Core-Update erforderlich!

Sicherheitsvorfälle bei WordPress betreffen meist unzureichend gepflegte Plugins oder Themes. Das aktuell bekannt gewordene Sicherheitsrisiko wp2shell wiegt jedoch um ein Vielfaches schwerer: Die Schwachstelle befindet sich direkt im WordPress-Core und ermöglicht es unauthentifizierten Angreifern, aus der Ferne Schadcode auf dem zugrundeliegenden Webserver auszuführen (Unauthenticated Remote Code Execution).

Was ist wp2shell?

Unter dem Namen wp2shell werden zwei verkettete Sicherheitslücken in der WordPress REST-API zusammengefasst. Konkret betrifft das Problem die Verarbeitung von Batch-Anfragen über den Endpoint /wp-json/batch/v1.

Da der REST-API-Endpunkt standardmäßig für jeden Internetnutzer erreichbar ist, benötigen Angreifer keinerlei Zugangsdaten oder Benutzerrechte auf der Ziel-Website. Über gezielt präparierte HTTP-Requests lässt sich die Eingabevalidierung umgehen und PHP-Code auf dem Server ausführen.

Welche Versionen sind betroffen?

Die Schwachstelle zieht sich durch alle aktuellen Hauptzweige der letzten Monate:

WordPress 6.8: Betroffen sind die Versionen 6.8.0 bis 6.8.5 (Sicher ab 6.8.6).
WordPress 6.9: Betroffen sind die Versionen 6.9.0 bis 6.9.4 (Sicher ab 6.9.5).
WordPress 7.0: Betroffen sind die Versionen 7.0.0 bis 7.0.1 (Sicher ab 7.0.2).

Achtung: Auch wenn das WordPress-Core-Team automatische Notfall-Updates (Auto-Updates) für betroffene Seiten angestoßen hat, schlagen diese auf vielen Servern aufgrund individueller Rechtevergaben, deaktivierter Cronjobs oder benutzerdefinierter Konfigurationen fehl. Eine manuelle Kontrolle ist zwingend erforderlich!

Handlungsanleitung für Website-Betreiber

1. Version kontrollieren & Manuell aktualisieren

Meldet euch im Backend eurer WordPress-Installation an und navigiert zu Dashboard → Aktualisierungen. Steht ein Core-Update auf Version 7.0.2 (oder die entsprechenden Wartungsreleases 6.9.5 / 6.8.6) bereit, führt dieses unverzüglich aus.

Prüfung auch über https://wp2shell.com/ möglich.

2. Notfall-Mitigation über die WAF (Falls kein Update möglich ist)

Sollte ein unmittelbares Update aus Kompatibilitätsgründen nicht möglich sein, muss der anfällige REST-API-Endpunkt auf Server- oder Firewall-Ebene (z. B. via Cloudflare oder Nginx/Apache-Regel) blockiert werden:

Blockieren aller Anfragen an /wp-json/batch/v1.

3. Indikatoren für eine Kompromittierung (IoCs) prüfen

Falls eure Seite auf einer ungepatchten Version lief, solltet ihr folgende Punkte kontrollieren:

Unbekannte Administratoren in der Benutzerliste.
Neuer, unautorisierter PHP-Code im Verzeichnis /wp-content/uploads/ oder in der index.php.
Unerwartete Modifikationen in der .htaccess-Datei.