![\"\"](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2014\/07\/wp_thumb.jpg\")
Vor einer Woche hatte ich \u00fcber eine kritische Schwachstelle in WordPress berichtet, die die Entdecker als wp2shell bezeichnen. Die Schwachstelle erlaubt eine CMS-\u00dcbernahme. Es war auff\u00e4llig ruhig, aber mir liegen nun die ersten F\u00e4lle vor, wo es WordPress-Instanzen getroffen hat.<\/p>\n
<\/p>\n
Ich hatte zum 19. Juli 2026 im Blog-Beitrag\u00a0Kritische WordPress-Schwachstelle wp2shell erlaubt CMS-\u00dcbernahme<\/a> ausf\u00fchrlicher berichtet. Die WordPress-Entwickler hatten \u00fcber die WordPress Versionen 6.9.5 und 7.0.2 einen Fix bereitgestellt. Und die Entdecker der Schwachstelle hatten einen Scanner ver\u00f6ffentlicht, wo man \u00fcber eine Webseite seinen WordPress-Blog auf eine Gef\u00e4hrdung pr\u00fcfen konnte.<\/p>\n Als mein Blog-Beitrag online ging, waren alle meine Blogs bereits aktualisiert und abgesichert, auch wenn der Online-Scanner teilweise f\u00e4lschlich behauptete, dass die Installation angreifbar sei. Auch dem Besitzer der Domain borncity[.]com hatte ich einen Hinweis hinterlassen und auch deren Blog ist auf WordPress 7.0.2.<\/p>\n Ich habe seit diesem Zeitpunkt mehrfach meine Blogs auf Unstimmigkeiten gepr\u00fcft, konnte aber weder manuell noch mit internen Scannern irgend ein Anzeigen einer Kompromittierung entdecken. Man kann das WordPress-Plugin\u00a0Compromise Scanner for wp2shell<\/a> zur Pr\u00fcfung, ob eine Instanz kompromittiert sein k\u00f6nnte.<\/p>\n Eines der ersten Opfer der wp2shell-Schwachstelle ist BeNe. Das K\u00fcrzel steht f\u00fcr \"Betroffenen Netzwerk\", das ist eine Plattform, auf der Betroffene sexualisierter Gewalt in der Evangelischen Kirche in Deutschland (EKD) seit 2024 Erfahrungen austauschen k\u00f6nnen. Die Plattform wurde mittels WordPress realisiert, und die Betreiber haben diese Plattform erst offline genommen, nachdem das BSI die Woche gewarnt hatte. Leider zu sp\u00e4t, denn es sind wohl Daten abgeflossen, wie ich im Blog-Beitrag\u00a0Gebets-App des Papstes leakt Nutzer; BeNe-Hack verunsichert Betroffene<\/a> berichtet habe.<\/p>\n Ich hatte meinen Blog-Beitrag Kritische WordPress-Schwachstelle wp2shell erlaubt CMS-\u00dcbernahme<\/a> auch auf Facebook in einer WordPress-Gruppe geteilt. Dort hat sich ein Betroffener mit folgenden Informationen gemeldet.<\/p>\n Heute erhielten wir von IONOS die Mail, dass unsere Webseite vermutlich betroffen ist (s.u.). In der Liste der Plugins fand ich daneben zwei am 19.7. installierte Plugins:<\/p>\n \"Database Repair Assistant\" und \"wp2s-606aa615\"<\/p>\n Beide erst einmal deaktiviert.<\/p>\n Mich wundert allerdings, dass die BSI-Informationen https:\/\/www.bsi.bund.de\/…\/DE\/2026\/2026-271984-1032.pdf… davon sprechen, dass WP 7.0.2 nicht betroffen sei – und wir nutzen 7.0.2 in der Content Management Software WordPress wurde die Sicherheitsl\u00fccke wp2shell bekannt. Damit k\u00f6nnen Angreifer potenziell schadhaften Code auf betroffene Webspaces einschleusen und auf Ihre Daten zugreifen.<\/p>\n Potenziell sind alle WordPress-Installationen weltweit betroffen. Technische Details zur Sicherheitsl\u00fccke finden Sie in der offiziellen Cybersicherheitswarnung des BSI.<\/p>\n Bei einer Sicherheitspr\u00fcfung haben wir starke Anzeichen daf\u00fcr gefunden, dass Ihre WordPress-Installation Opfer eines entsprechenden Angriffs wurde und dass Dateien und\/oder Datenbanken kompromittiert wurden.<\/p>\n Bitte loggen Sie sich umgehend in Ihr IONOS Konto ein und \u00e4ndern Sie Ihre Passw\u00f6rter:<\/p>\n \u2022 Kundenpasswort Sollten Sie Passw\u00f6rter, die Sie auch bei anderen Diensten oder Accounts verwenden, in Ihrer WordPress-Instanz hinterlegt haben, \u00e4ndern Sie diese bitte aus Sicherheitsgr\u00fcnden ebenfalls umgehend bei den jeweiligen Anbietern.<\/p>\n WICHTIG: Tragen Sie ge\u00e4nderte Passw\u00f6rter oder Zugangsdaten keinesfalls in Ihr WordPress ein. Angreifer k\u00f6nnten sonst Zugriff auf Ihre Daten bekommen.<\/p>\n Wir arbeiten mit Nachdruck an weiteren Sicherheitsma\u00dfnahmen f\u00fcr Ihre WordPress-Installation und informieren Sie in K\u00fcrze \u00fcber die n\u00e4chsten Schritte.<\/p>\n Mit freundlichen Gr\u00fc\u00dfen<\/p><\/blockquote>\n Klingt mir so, dass die vor dem Upgrade auf WordPress 7.0.2 kompromittiert wurden. In den Kommentaren best\u00e4tigen weitere Nutzer, dass es einige Betroffene gebe. Einer der Teilnehmer schrieb: \"Wir haben bereits einige betroffene WordPresss-Websites; Update auf WordPress 7 bereits erfolgt, trotzdem generiert sich immer eine .htaccess und index.php mit Schadcode.\" Hier muss eine Infektion vor dem Update angenommen werden.<\/p>\n Ein Nutzer schrieb: \"Ich habe bereits eine Website erfolgreich bereinigt. Muster: in jedem Unterordner gibt es eine htaccess und die index.php im Hauptordner wird automatisch immer wieder \u00fcberschrieben. Ich habe es mit einer bereinigten neuen Version gel\u00f6st.\" Vielleicht hilft dies betroffenen WordPress-Nutzern.<\/p>\n \u00c4hnliche Artikel:<\/strong> Vor einer Woche hatte ich \u00fcber eine kritische Schwachstelle in WordPress berichtet, die die Entdecker als wp2shell bezeichnen. Die Schwachstelle erlaubt eine CMS-\u00dcbernahme. Es war auff\u00e4llig ruhig, aber mir liegen nun die ersten F\u00e4lle vor, wo es WordPress-Instanzen getroffen hat.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,1574],"tags":[4328,4349],"class_list":["post-327856","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-wordpress","tag-sicherheit","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/327856","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=327856"}],"version-history":[{"count":5,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/327856\/revisions"}],"predecessor-version":[{"id":327862,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/327856\/revisions\/327862"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=327856"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=327856"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=327856"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}In WordPress existieren vor der Version 6.9.5 und 7.0.2 gleich zwei Schwachstellen\u00a0CVE-2026-63030<\/a> und CVE-2026-60137<\/a> (wp2shell), die die \u00dcbernahme des CMS erm\u00f6glichen.\u00a0Sicherheitsforscher von Searchlight Cyber waren k\u00fcrzlich auf die wp2shell genannte Schwachstelle gesto\u00dfen.\u00a0Es ist eine RCE-Schwachstelle im WordPress-Kernel, die vor der Authentifizierung ausgenutzt werden kann. Der Angriff erfordert keine Voraussetzungen und kann von einem anonymen Benutzer in einer Standardinstallation von WordPress ohne Plugins ausgenutzt werden.
<\/p>\n
Betroffenennetzwerk BeNe ein Opfer<\/h2>\n
Weitere Opfer – Diskussion auf Facebook<\/h2>\n
\n_____________________________________________
\nIn der Benutzerliste tauchte ein verd\u00e4chtiges Administrator-Konto auf \"wpsvc_59ef9db7ebe0@wordpress-svc.internal\", das sich zuletzt am 19.7. eingeloggt hat.\u00a0Das Konto habe ich gel\u00f6scht.<\/p>\n
\n_____________________________________________
\nHallo xxxxxx<\/p>\n
\n\u2022 E-Mail-Passw\u00f6rter
\n\u2022 Passw\u00f6rter oder Zugangsdaten (z. B. API-Keys, Token) f\u00fcr alle Programme und Erweiterungen (Plugins), die mit Ihrer WordPress-Seite verbunden sind (zum Beispiel f\u00fcr Ihren Online-Shop).<\/p>\n
\nKritische WordPress-Schwachstelle wp2shell erlaubt CMS-\u00dcbernahme<\/a>
\nGebets-App des Papstes leakt Nutzer; BeNe-Hack verunsichert Betroffene<\/a>
\nWordPress-Hacks \u00fcber wp2shell – erste Opfer<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"