„wp2shell": Kritische WordPress-Lücke erlaubt Codeeinschleusung – Was IT-Verantwortliche jetzt wissen müssen

1. Was ist passiert – und warum betrifft das deutsche Unternehmen?

Eine neu entdeckte Schwachstellenkette in WordPress – intern als „wp2shell" bezeichnet – versetzt Angreifer in die Lage, über eine Kombination aus SQL-Injection und einer unsicheren REST-API-Schnittstelle beliebigen Schadcode auf betroffenen Systemen auszuführen. WordPress hat am 18. Juli 2026 ein offizielles Sicherheitsupdate veröffentlicht; die Sicherheitsforscher, die die Lücke entdeckt haben, stellten zusätzlich einen Notfall-Hotfix bereit.

Klingt abstrakt? Ist es nicht. In Deutschland laufen schätzungsweise mehr als 1,5 Millionen aktive WordPress-Installationen, von der Unternehmenswebsite des Mittelständlers über den Online-Shop bis zum Behördenportal. WordPress hält in Deutschland einen CMS-Marktanteil von über 60 Prozent. Eine kritische Remote-Code-Execution-Lücke (RCE) in dieser Plattform ist damit kein Nischenproblem – sie ist ein flächendeckendes Unternehmensrisiko.

Für Geschäftsführer und IT-Verantwortliche stellt sich die Frage nicht ob gehandelt werden muss, sondern wie schnell.

2. Technischer Hintergrund: Was steckt hinter „wp2shell"?

Die Angriffskette im Überblick

Die Schwachstelle „wp2shell" ist keine einzelne Lücke, sondern eine verkettete Exploit-Kette aus zwei Komponenten:

Schritt 1 – SQL-Injection über die Datenbankschicht:
Durch eine unzureichend validierte Datenbankabfrage können Angreifer manipulierte SQL-Befehle einschleusen. Damit ist es möglich, Datenbankeinträge auszulesen, zu manipulieren oder zu löschen – ohne Authentifizierung. Besonders kritisch: Über diese Lücke lassen sich zunächst privilegierte Zugangsdaten oder Session-Tokens aus der Datenbank extrahieren.

Schritt 2 – Codeausführung über die REST-API:
WordPress stellt seit Version 4.7 eine umfangreiche REST-API bereit, über die externe Anwendungen und Plugins Daten austauschen. Wird ein im ersten Schritt erlangtes Token genutzt, um über die API eine präparierte Anfrage zu senden, können Angreifer serverseitig beliebigen PHP-Code ausführen – einen sogenannten Webshell platzieren. Ab diesem Punkt haben die Angreifer vollständige Kontrolle über das Webserversystem.

Warum ist die Kombination so gefährlich?

Die CVSS-Bewertung (Common Vulnerability Scoring System) solcher RCE-Ketten liegt typischerweise im Bereich 9.0–10.0 – also in der höchsten Risikokategorie. Das BSI klassifiziert derartige Schwachstellen als „kritisch" gemäß seiner Bedrohungslage-Taxonomie.

3. NIS2-Relevanz: Welche Pflichten gelten für deutsche Unternehmen?

Wen betrifft NIS2 hier konkret?

Die EU-Richtlinie NIS2 (umgesetzt in Deutschland durch das BSIG-Novellierungsgesetz) erweitert den Kreis der betroffenen Unternehmen erheblich. Betroffen sind unter anderem:

• Wesentliche Einrichtungen: Energie, Gesundheit, Finanzmarkt, Wasserversorgung, digitale Infrastruktur
• Wichtige Einrichtungen: Verarbeitendes Gewerbe (ab 50 Mitarbeitende / 10 Mio. € Umsatz), Post & Kurier, Lebensmittel, Chemie, öffentliche Verwaltung

Betreibt Ihr Unternehmen eine WordPress-Website, die als Teil der digitalen Infrastruktur, des Kundenzugangs oder der Prozesskommunikation gilt, fällt eine kompromittierte Instanz unter die Meldepflicht nach § 30 BSIG-neu.

Meldewege und Fristen im Überblick

Entdeckung einer Sicherheitsverletzung
        ↓
[24 Stunden] → Erstmeldung an das BSI (Frühwarnung)
        ↓
[72 Stunden] → Detaillierte Meldung (Umfang, betroffene Systeme, erste Gegenmaßnahmen)
        ↓
[1 Monat]   → Abschlussbericht mit vollständiger Ursachenanalyse

Hinweis: Das BSI betreibt unter bsi.bund.de ein Meldeportal für Sicherheitsvorfälle. Für NIS2-pflichtige Unternehmen ist die Nutzung verpflichtend.

Was droht bei Versäumnis?

Unternehmen, die eine meldepflichtige Sicherheitsverletzung nicht fristgerecht melden, riskieren nach NIS2 Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (wesentliche Einrichtungen) bzw. 7 Millionen Euro oder 1,4 % des Umsatzes (wichtige Einrichtungen). Hinzu kommen mögliche DSGVO-Bußgelder, wenn personenbezogene Daten abgeflossen sind.

4. Praktische Schutzmaßnahmen: Was Sie jetzt konkret tun sollten

✅ Maßnahme 1: Sofortiges Update auf die aktuelle WordPress-Version

Das wichtigste zuerst: Spielen Sie das Sicherheitsupdate umgehend ein. WordPress hat den Patch bereits veröffentlicht. In WordPress-Installationen mit aktivierten Auto-Updates für Kern-Updates sollte die Aktualisierung automatisch erfolgt sein – prüfen Sie dies aktiv im Backend unter Dashboard → Aktualisierungen.

Prüfbefehl (WP-CLI): wp core update && wp core version

✅ Maßnahme 2: REST-API-Zugriff absichern oder einschränken

Falls Ihre Installation keine externe REST-API-Nutzung benötigt, deaktivieren Sie den öffentlichen Zugriff. Erfahrene Administratoren können dies über die .htaccess-Datei oder ein Security-Plugin (z. B. Wordfence, iThemes Security) realisieren. Prüfen Sie außerdem, welche Plugins REST-API-Endpunkte registrieren – jeder unnötige Endpunkt ist eine potenzielle Angriffsfläche.

✅ Maßnahme 3: Web Application Firewall (WAF) aktivieren

Eine vorgelagerte WAF – entweder als Plugin-Lösung, als CDN-Funktion (z. B. Cloudflare) oder als dedizierte Appliance – kann SQL-Injection-Versuche und ungewöhnliche API-Anfragen bereits vor dem Erreichen der Anwendung blockieren. Das BSI empfiehlt WAF-Einsatz ausdrücklich im Rahmen des IT-Grundschutz-Kompendiums (Baustein APP.3.2 Webserver).

✅ Maßnahme 4: Datenbankberechtigungen auf das Minimum reduzieren

Viele WordPress-Installationen laufen mit einem Datenbanknutzer, der zu weitreichende Berechtigungen besitzt. Stellen Sie sicher, dass der WordPress-Datenbanknutzer ausschließlich die Rechte SELECT, INSERT, UPDATE, DELETE besitzt – und keinesfalls FILE, DROP oder SUPER. Das begrenzt den Schaden bei einer erfolgreichen SQL-Injection erheblich.

✅ Maßnahme 5: Integritätsprüfung und Forensik

Prüfen Sie, ob Ihre Installation bereits kompromittiert wurde, bevor Sie das Update einspielen. Achten Sie auf:
- Unbekannte Dateien in /wp-content/uploads/ oder /wp-includes/
- Neue Administrator-Accounts in der Benutzerverwaltung
- Ungewöhnliche Datenbankeinträge in wp_users oder wp_options
- Server-Logs auf verdächtige POST-Requests an REST-API-Endpunkte

Tools wie WP-CLI (wp plugin verify-checksums, wp core verify-checksums) oder Wordfence Scan helfen bei der schnellen Integritätsprüfung.

✅ Maßnahme 6: Backup-Strategie und Wiederherstellungsplan überprüfen

Ein aktuelles, getrennt gespeichertes Backup (Offsite oder Air-Gap) ist im Ernstfall das wichtigste Instrument zur Schadensbegrenzung. Stellen Sie sicher, dass Backups täglich erstellt, regelmäßig auf Wiederherstellbarkeit geprüft und nicht auf demselben Server gespeichert werden, der kompromittiert sein könnte.

5. Fazit: Schnell handeln, Meldepflichten kennen, Prozesse etablieren

Die „wp2shell"-Schwachstelle zeigt exemplarisch, wie gefährlich das Verketten mehrerer Einzellücken sein kann. Was für sich genommen vielleicht beherrschbar wirkt, wird in Kombination zu einem kritischen Einfallstor für vollständige Systemübernahmen. Für deutsche Unternehmen kommt erschwerend hinzu, dass NIS2 erstmals verbindliche Reaktionszeiten und Meldepflichten vorschreibt – mit empfindlichen Bußgeldern bei Verstößen.

Die gute Nachricht: Wer jetzt handelt – patcht, absichert, dokumentiert und Prozesse etabliert – ist nicht nur gegen diese konkrete Lücke geschützt, sondern deutlich besser auf die nächste vorbereitet.

💡 Call-to-Action: NIS2-Compliance strukturiert angehen

Vorfälle wie „wp2shell" verdeutlichen, dass Cybersicherheit heute keine rein technische Disziplin mehr ist, sondern ein Compliance- und Governance-Thema. Meldepflichten, Risikoanalysen, Lieferkettenprüfungen und Dokumentationspflichten lassen sich manuell kaum noch zuverlässig steuern.

Moderne NIS2-Compliance-Software unterstützt IT-Verantwortliche dabei, Schwachstellen systematisch zu erfassen, Meldeprozesse zu automatisieren, Fristen zu überwachen und Nachweise für Prüfer bereitzuhalten. Wenn Ihr Unternehmen noch kein dediziertes Tool zur NIS2-Umsetzung einsetzt, ist jetzt ein guter Zeitpunkt, den Markt zu sondieren – bevor der nächste Vorfall die Anforderungen zur Bewährungsprobe macht.