Sicherheits-Bulletin vom 19. Juli 2026: wp2shell — öffentliche Exploits sind da, erste Angriffe laufen (CVE-2026-60137 & CVE-2026-63030)

Dies ist unser täglicher Sicherheits-Überblick, in dem wir die veröffentlichten Schwachstellen sichten und jene herausgreifen, die für den Betrieb von WordPress-Websites, Online-Shops und PHP-Anwendungen tatsächlich von Bedeutung sind. Jede Angabe ist gegen die zugrunde liegende Primärquelle geprüft und am Ende des jeweiligen Abschnitts verlinkt. Der 19. Juli fällt auf ein Wochenende und bringt keine neue eigenständige Schwachstelle in dieser Kategorie hervor; ein neues Shopware-Advisory oder eine neue Lücke im PHP-Kern gab es an diesem Tag nicht. Bestimmend bleibt vielmehr ein einziges, sich rasch zuspitzendes Ereignis: die am 17. Juli veröffentlichte Kern-Angriffskette „wp2shell” aus SQL-Injection (CVE-2026-60137) und Route-Verwechslung im REST-Batch-Endpunkt (CVE-2026-63030), die wir gestern ausführlich beschrieben haben, hat sich über das Wochenende von einer theoretischen Warnung zu einem laufenden Angriff entwickelt. Weil die Lage sich damit spürbar verschärft hat, widmen wir diese Ausgabe bewusst dem Folgestand — und der Frage, was Betreiber tun sollten, die nicht bereits am Freitag oder Samstag aktualisiert haben.

Aus der Warnung ist ein laufender Angriff geworden

Zum Zeitpunkt der Erstveröffentlichung am 17. Juli war der genaue Ablauf der Kette zurückgehalten worden, um Betreibern Zeit zum Einspielen der Aktualisierung zu geben. Diese Schonfrist ist vorbei: Über das Wochenende sind auf öffentlichen Code-Plattformen mehrere funktionsfähige Angriffs-Werkzeuge aufgetaucht, die den vollständigen Pfad von der anmeldungsfreien Anfrage bis zur Remote-Code-Ausführung auf einer Standard-Installation nachbilden. Damit steht die Ausnutzung nicht mehr nur spezialisierten Forschern offen, sondern grundsätzlich jedem. Der Sicherheitsanbieter Patchstack berichtet, bereits am Abend des 17. Juli erste Ausnutzungsversuche gegen CVE-2026-63030 in der eigenen Telemetrie gesehen zu haben; das Team watchTowr meldet ebenfalls erste Anzeichen einer Ausnutzung in freier Wildbahn. Belastbare Fallzahlen liegen noch nicht vor, und die Kette war zum Wochenende noch nicht in den KEV-Katalog der US-Behörde CISA aufgenommen — für die Bewertung des Risikos ändert das jedoch nichts: Sobald lauffähiger Exploit-Code frei verfügbar ist und die Zielgruppe praktisch jede unpatchte WordPress-Installation umfasst, sollte jeder Betreiber von aktiven, breit gestreuten Angriffen ausgehen.

Quellen: BleepingComputer — WordPress Core „wp2shell” RCE flaws get public exploits · Patchstack — Unauthenticated SQL Injection in WordPress Core Fixed in 7.0.2

Wer nicht am Wochenende aktualisiert hat, sollte von einer Kompromittierung ausgehen

Das WordPress-Sicherheitsteam hat für betroffene Installationen erzwungene Hintergrund-Aktualisierungen ausgelöst, sodass die meisten Websites bereits auf 7.0.2, 6.9.5 oder 6.8.6 stehen sollten. Verlassen Sie sich nicht allein darauf: Prüfen Sie im Dashboard unter „Aktualisierungen” die installierte Kern-Version, und ziehen Sie das Update überall dort umgehend von Hand nach, wo automatische Kern-Aktualisierungen deaktiviert wurden. Der entscheidende Unterschied zur gestrigen Lage ist jedoch: Wenn eine Website über das Wochenende ungepatcht am Netz war, genügt das Einspielen der neuen Version allein nicht mehr, denn ein erfolgreicher Angriff hätte bereits stattgefunden haben können. Da die SQL-Injection das Auslesen beliebiger Datenbank-Inhalte erlaubt — einschließlich der Passwort-Hashes von Administratoren, die sich offline knacken lassen — und die vollständige Kette bis zur Ablage einer Web-Shell reicht, sind in diesem Fall zusätzliche Schritte angezeigt: Kontrollieren Sie die Benutzerliste auf unbekannte Administrator-Konten, suchen Sie das Upload-Verzeichnis und den Web-Root nach unerwarteten oder kürzlich veränderten PHP-Dateien ab, und durchsuchen Sie die Zugriffs-Protokolle nach Anfragen an /wp-json/batch/v1 beziehungsweise den Parameter ?rest_route=/batch/v1. Wechseln Sie im Zweifel die Administrator-Passwörter sowie die Sicherheitsschlüssel in der wp-config.php und ziehen Sie eine Wiederherstellung aus einem Backup von vor dem 17. Juli in Betracht. Als flankierende Maßnahme lässt sich der Batch-Endpunkt bis zur gesicherten Bereinigung über eine Zugriffsregel oder eine Web Application Firewall für anonyme Anfragen sperren; Cloudflare hat für die betroffenen Versionen eine entsprechende Regel über alle Tarife hinweg ausgerollt. Ob eine Installation grundsätzlich verwundbar ist, lässt sich zudem über das vom Entdecker-Team Searchlight Cyber bereitgestellte Prüfwerkzeug unter wp2shell.com feststellen.

Quellen: WordPress 7.0.2 Security Release · The Hacker News — New wp2shell WordPress Core Flaw

Unsicher, ob Sie betroffen sind? Sprechen Sie uns an.

---

Dieser Hinweis dient der Sicherheits-Aufklärung. Maßgeblich sind stets die offiziellen Hinweise des jeweiligen Herstellers sowie die oben verlinkten Quellen.