top of page
Suche

WordPress-Sicherheitslücke 2026: Zwei kritische Lücken in wenigen Wochen – das musst du jetzt wissen

  • 19. Aug.
  • 3 Min. Lesezeit

Zuletzt aktualisiert: 19. August 2026


Kurz zusammengefasst: Innerhalb weniger Wochen wurden 2026 zwei kritische Sicherheitslücken im WordPress-Core bekannt: "wp2shell" (CVE-2026-63030 & CVE-2026-60137, Juli 2026) und eine neue Schwachstelle in der Bildverarbeitung (CVE-2026-65640, August 2026). Beide erlauben Angreifern unter bestimmten Bedingungen die Kontrolle über eine Website zu übernehmen. Wer WordPress 7.0.4, 6.9.5 oder 6.8.6 (bzw. neuer) einsetzt, ist gegen beide Lücken geschützt.


WordPress betreibt schätzungsweise 40 % aller Websites weltweit. Wenn im Core eine kritische Lücke auftaucht, betrifft das nicht ein paar hundert Seiten, sondern potenziell hunderte Millionen. Genau das ist 2026 gleich zweimal passiert – und beide Male innerhalb weniger Wochen.

WordPress Sicherheitslücke 2026
WordPress Sicherheitslücke 2026


Was ist "wp2shell" (CVE-2026-63030 & CVE-2026-60137)?

Die erste Lücke wurde am 17. Juli 2026 bekannt und unter dem Namen "wp2shell" bekannt. Sie kombiniert zwei Schwachstellen: CVE-2026-63030 hebelt eine Zugriffskontrolle der REST-API aus (offiziell als "Critical" eingestuft), CVE-2026-60137 ist eine SQL-Injection-Lücke über die WP_Query-Funktion. Zusammen ermöglichen beide eine sogenannte Remote Code Execution – die vollständige Übernahme einer Website, ohne dass sich ein Angreifer einloggen oder ein Passwort kennen muss.


Betroffen waren die Versionen 6.8.0–6.8.5, 6.9.0–6.9.4 sowie 7.0.0–7.0.1.

Die US-Cybersicherheitsbehörde CISA nahm die Lücke bereits am 21. Juli 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen auf – sie wurde also nachweislich in freier Wildbahn angegriffen.


Was ist neu: CVE-2026-65640 (WordPress 7.0.4, August 2026)?


Nur wenige Wochen später, am 13. August 2026, veröffentlichte WordPress einen weiteren Sicherheitspatch: Version 7.0.4 schließt eine Lücke mit einem CVSS-Wert von 8.8 (hohes Risiko). Diesmal steckt das Problem in der Bildverarbeitung: Wer Nutzerrechte ab der Rolle "Autor" hat, kann eine präparierte PNG-Datei mit eingebettetem PostScript-Code hochladen. Verarbeitet der Server diese Datei über Imagick und Ghostscript, wird der eingebettete Code ausgeführt – der Angreifer übernimmt den Server.


Betroffen sind alle WordPress-Versionen von 4.7 bis 7.0.3 – WordPress hat den Fix sogar bis in sehr alte Versionen zurückportiert, ein deutliches Zeichen dafür, wie ernst die Lücke eingestuft wird.



Bin ich betroffen? Versionsübersicht

Lücke

Betroffene Versionen

Sicher ab

wp2shell (CVE-2026-63030 / CVE-2026-60137)

6.8.0–6.8.5, 6.9.0–6.9.4, 7.0.0–7.0.1

6.8.6, 6.9.5, 7.0.2

Imagick-RCE (CVE-2026-65640)

4.7 bis 7.0.3

7.0.4

Die einfachste Regel: Wer aktuell WordPress 7.0.4 oder neuer nutzt, ist gegen beide Lücken abgesichert. Alles darunter sollte umgehend geprüft und aktualisiert werden.


So findest du deine WordPress-Version heraus

Im Backend unter Dashboard → Startseite oder Dashboard → Updates wird die aktuelle Version angezeigt.
Ohne Login lässt sich das oft über den Seitenquelltext (Tastenkombination Strg+U, Suche nach "generator") oder über die Adresse deineseite.de/feed/ herausfinden.

So aktualisierst du sicher, ohne dass etwas kaputtgeht

  1. Backup zuerst. Dateien und Datenbank sichern (z. B. per Backup-Plugin wie UpdraftPlus oder über den Hoster), extern speichern.


  2. Wenn möglich auf Staging testen. Viele Managed-WordPress-Hoster bieten dafür eine Ein-Klick-Kopie der Live-Seite an.


  3. Update in ruhigem Zeitfenster einspielen, nicht während Stoßzeiten.


  4. Danach Funktionscheck: Startseite, Formulare, Checkout (falls Shop), und – wichtig für alle, die mit Elementor oder anderen Page-Buildern arbeiten – kurz im Editor prüfen, ob sich Seiten noch normal bearbeiten lassen.


Ein Hinweis vorweg: Auch Page-Builder wie Elementor schützen nicht vor diesen Lücken. Beide Schwachstellen sitzen im WordPress-Core, unabhängig davon, welcher Builder oder welches Theme installiert ist. Entscheidend ist ausschließlich die Core-Version.


Woran erkenne ich, ob es bereits zu spät war?

Warnsignale sind:

  • unbekannte Dateien im Plugin- oder Theme-Ordner, neue Admin-Benutzer, die niemand angelegt hat,

  • auffällige Log-Einträge rund um /wp-json/batch/ oder Datei-Uploads,

eine plötzlich langsame oder seltsam reagierende Seite.


In diesem Fall reicht ein einfaches Update nicht mehr aus – dann ist eine gründliche Bereinigung nötig.



Häufige Fragen zu den WordPress-Sicherheitslücken 2026


Ist meine Website automatisch sicher, wenn ich ein Sicherheits-Plugin wie Wordfence nutze?

Ein Sicherheits-Plugin kann Angriffsversuche erschweren und teilweise blockieren, ersetzt aber kein Update. Beide hier beschriebenen Lücken liegen im WordPress-Core selbst – der zuverlässige Schutz ist ausschließlich die aktualisierte Version.


Ja, aber getrennt von diesem Thema: Elementor hatte 2026 eigene, unabhängige Sicherheitslücken (u. a. Cross-Site-Scripting und Zugriffskontroll-Probleme). Ein Update auf die aktuelle Elementor-Version ist zusätzlich zum WordPress-Core-Update sinnvoll.


Als Übergangslösung lässt sich der betroffene REST-API-Pfad /wp-json/batch/v1 per Firewall oder Sicherheits-Plugin blockieren, beziehungsweise die REST-API für nicht angemeldete Nutzer einschränken. Das ersetzt aber nicht das eigentliche Update und sollte nur eine kurzfristige Notlösung sein.

Bei einer gut gepflegten Seite mit aktuellem Backup-System meist 15–30 Minuten inklusive Funktionscheck. Bestehen bereits Plugin-Konflikte oder ist länger kein Update erfolgt, kann es deutlich länger dauern – in solchen Fällen lohnt sich eine professionelle Prüfung vorab.




Unsicher, ob deine Website betroffen ist? Ich prüfe kostenlos und unverbindlich, welche WordPress-Version bei dir läuft, ob du betroffen bist – und wie du sicher updatest, ohne dass danach etwas kaputtgeht. Schreib mir an office@digital-wannabeez.at.


Quellen


Kommentare

bottom of page