WordPress-Hacks über wp2shell – erste Opfer

Vor einer Woche hatte ich über eine kritische Schwachstelle in WordPress berichtet, die die Entdecker als wp2shell bezeichnen. Die Schwachstelle erlaubt eine CMS-Übernahme. Es war auffällig ruhig, aber mir liegen nun die ersten Fälle vor, wo es WordPress-Instanzen getroffen hat.

Die WordPress Schwachstelle wp2shell

In WordPress existieren vor der Version 6.9.5 und 7.0.2 gleich zwei Schwachstellen CVE-2026-63030 und CVE-2026-60137 (wp2shell), die die Übernahme des CMS ermöglichen. Sicherheitsforscher von Searchlight Cyber waren kürzlich auf die wp2shell genannte Schwachstelle gestoßen. Es ist eine RCE-Schwachstelle im WordPress-Kernel, die vor der Authentifizierung ausgenutzt werden kann. Der Angriff erfordert keine Voraussetzungen und kann von einem anonymen Benutzer in einer Standardinstallation von WordPress ohne Plugins ausgenutzt werden.

Ich hatte zum 19. Juli 2026 im Blog-Beitrag Kritische WordPress-Schwachstelle wp2shell erlaubt CMS-Übernahme ausführlicher berichtet. Die WordPress-Entwickler hatten über die WordPress Versionen 6.9.5 und 7.0.2 einen Fix bereitgestellt. Und die Entdecker der Schwachstelle hatten einen Scanner veröffentlicht, wo man über eine Webseite seinen WordPress-Blog auf eine Gefährdung prüfen konnte.

Als mein Blog-Beitrag online ging, waren alle meine Blogs bereits aktualisiert und abgesichert, auch wenn der Online-Scanner teilweise fälschlich behauptete, dass die Installation angreifbar sei. Auch dem Besitzer der Domain borncity[.]com hatte ich einen Hinweis hinterlassen und auch deren Blog ist auf WordPress 7.0.2.

Ich habe seit diesem Zeitpunkt mehrfach meine Blogs auf Unstimmigkeiten geprüft, konnte aber weder manuell noch mit internen Scannern irgend ein Anzeigen einer Kompromittierung entdecken. Man kann das WordPress-Plugin Compromise Scanner for wp2shell zur Prüfung, ob eine Instanz kompromittiert sein könnte.

Betroffenennetzwerk BeNe ein Opfer

Eines der ersten Opfer der wp2shell-Schwachstelle ist BeNe. Das Kürzel steht für "Betroffenen Netzwerk", das ist eine Plattform, auf der Betroffene sexualisierter Gewalt in der Evangelischen Kirche in Deutschland (EKD) seit 2024 Erfahrungen austauschen können. Die Plattform wurde mittels WordPress realisiert, und die Betreiber haben diese Plattform erst offline genommen, nachdem das BSI die Woche gewarnt hatte. Leider zu spät, denn es sind wohl Daten abgeflossen, wie ich im Blog-Beitrag Gebets-App des Papstes leakt Nutzer; BeNe-Hack verunsichert Betroffene berichtet habe.

Weitere Opfer – Diskussion auf Facebook

Ich hatte meinen Blog-Beitrag Kritische WordPress-Schwachstelle wp2shell erlaubt CMS-Übernahme auch auf Facebook in einer WordPress-Gruppe geteilt. Dort hat sich ein Betroffener mit folgenden Informationen gemeldet.

Heute erhielten wir von IONOS die Mail, dass unsere Webseite vermutlich betroffen ist (s.u.).
_____________________________________________
In der Benutzerliste tauchte ein verdächtiges Administrator-Konto auf "wpsvc_59ef9db7ebe0@wordpress-svc.internal", das sich zuletzt am 19.7. eingeloggt hat. Das Konto habe ich gelöscht.

In der Liste der Plugins fand ich daneben zwei am 19.7. installierte Plugins:

"Database Repair Assistant" und "wp2s-606aa615"

Beide erst einmal deaktiviert.

Mich wundert allerdings, dass die BSI-Informationen https://www.bsi.bund.de/…/DE/2026/2026-271984-1032.pdf… davon sprechen, dass WP 7.0.2 nicht betroffen sei – und wir nutzen 7.0.2
_____________________________________________
Hallo xxxxxx

in der Content Management Software WordPress wurde die Sicherheitslücke wp2shell bekannt. Damit können Angreifer potenziell schadhaften Code auf betroffene Webspaces einschleusen und auf Ihre Daten zugreifen.

Potenziell sind alle WordPress-Installationen weltweit betroffen. Technische Details zur Sicherheitslücke finden Sie in der offiziellen Cybersicherheitswarnung des BSI.

Bei einer Sicherheitsprüfung haben wir starke Anzeichen dafür gefunden, dass Ihre WordPress-Installation Opfer eines entsprechenden Angriffs wurde und dass Dateien und/oder Datenbanken kompromittiert wurden.

Bitte loggen Sie sich umgehend in Ihr IONOS Konto ein und ändern Sie Ihre Passwörter:

• Kundenpasswort
• E-Mail-Passwörter
• Passwörter oder Zugangsdaten (z. B. API-Keys, Token) für alle Programme und Erweiterungen (Plugins), die mit Ihrer WordPress-Seite verbunden sind (zum Beispiel für Ihren Online-Shop).

Sollten Sie Passwörter, die Sie auch bei anderen Diensten oder Accounts verwenden, in Ihrer WordPress-Instanz hinterlegt haben, ändern Sie diese bitte aus Sicherheitsgründen ebenfalls umgehend bei den jeweiligen Anbietern.

WICHTIG: Tragen Sie geänderte Passwörter oder Zugangsdaten keinesfalls in Ihr WordPress ein. Angreifer könnten sonst Zugriff auf Ihre Daten bekommen.

Wir arbeiten mit Nachdruck an weiteren Sicherheitsmaßnahmen für Ihre WordPress-Installation und informieren Sie in Kürze über die nächsten Schritte.

Mit freundlichen Grüßen

Klingt mir so, dass die vor dem Upgrade auf WordPress 7.0.2 kompromittiert wurden. In den Kommentaren bestätigen weitere Nutzer, dass es einige Betroffene gebe. Einer der Teilnehmer schrieb: "Wir haben bereits einige betroffene WordPresss-Websites; Update auf WordPress 7 bereits erfolgt, trotzdem generiert sich immer eine .htaccess und index.php mit Schadcode." Hier muss eine Infektion vor dem Update angenommen werden.

Ein Nutzer schrieb: "Ich habe bereits eine Website erfolgreich bereinigt. Muster: in jedem Unterordner gibt es eine htaccess und die index.php im Hauptordner wird automatisch immer wieder überschrieben. Ich habe es mit einer bereinigten neuen Version gelöst." Vielleicht hilft dies betroffenen WordPress-Nutzern.

Ähnliche Artikel:
Kritische WordPress-Schwachstelle wp2shell erlaubt CMS-Übernahme
Gebets-App des Papstes leakt Nutzer; BeNe-Hack verunsichert Betroffene
WordPress-Hacks über wp2shell – erste Opfer