Deine WordPress-Seite lässt sich gerade ohne Passwort kapern – was du diese Woche tun musst
Eine kritische Lücke erlaubt seit Juli die komplette Übernahme von WordPress-Seiten – ganz ohne Login. Angreifer nutzen sie massenhaft aus. Ich zeige dir in Ruhe, was jetzt zählt.
Wenn deine Firmen-Website auf WordPress läuft, ist das hier kein Beitrag zum Später-Lesen. Seit dem 20. Juli gibt es eine kritische Sicherheitslücke, über die Angreifer eine WordPress-Seite komplett übernehmen können – ganz ohne Benutzername und Passwort. Und sie tun es gerade massenhaft. Ich erkläre dir ohne Panik, aber ehrlich, was passiert ist und was du diese Woche wirklich erledigen solltest.
Worum es geht
Die Sache hat unter Fachleuten den Spitznamen „wp2shell" bekommen, weil sie zwei Schwachstellen zu einer Angriffskette verbindet. Offiziell heißen sie CVE-2026-60137 und CVE-2026-63030. Die erste ist eine SQL-Injection, über die man an Daten kommt, die zweite erlaubt ab WordPress 6.9 in Verbindung mit der REST-Schnittstelle das Ausführen von beliebigem Code auf dem Server. Zusammen ergibt das den schlimmsten Fall: Der Angreifer braucht keinen Login, keine gestohlenen Zugangsdaten, nichts. Eine ganz normale Standard-Installation reicht.
Das Bittere daran: Der Patch war der Startschuss. Kaum waren die Updates draußen, begann die massenhafte Ausnutzung – Sicherheitsdienste zählen seither Millionen abgewehrter Angriffsversuche. Automatisierte Scanner klappern das halbe Netz nach verwundbaren Seiten ab. Ob deine Seite zehn Besucher am Tag hat oder tausend, spielt für so einen Bot keine Rolle.
Bin ich betroffen?
Verwundbar sind laut dem österreichischen CERT die WordPress-Versionen 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 und 7.0.0 bis 7.0.1. Sicher bist du ab 7.0.2, 6.9.5 oder 6.8.6 – und natürlich mit allem, was danach kam (inzwischen ist etwa 7.0.3 erschienen, das gleich ein Dutzend Lücken schließt).
Deine Version findest du im WordPress-Adminbereich unten rechts oder unter „Dashboard → Aktualisierungen". Wenn du automatische Updates für die Kernversion aktiviert hast, bist du wahrscheinlich schon versorgt – aber verlass dich nicht darauf, sondern schau nach.
Was du jetzt tun solltest
- WordPress-Kern aktualisieren. Unter „Dashboard → Aktualisierungen" auf die aktuelle Version gehen. Das dauert zwei Minuten und ist kostenlos. Vorher ein Backup ziehen, falls du eins per Klick machen kannst.
- Alle Plugins und Themes updaten. Die Kern-Lücke ist das große Thema, aber im selben Zeitraum wurden auch kritische Plugin-Lücken bekannt. Ein veraltetes Plugin ist genauso eine offene Tür wie ein veralteter Kern.
- Prüfen, ob du schon gekapert wurdest. Das ist der Punkt, den viele vergessen: Ein Update schließt die Tür – aber wenn jemand vor deinem Update schon drin war, hat er vielleicht einen zweiten Schlüssel hinterlegt. Schau nach neuen, dir unbekannten Administrator-Konten unter „Benutzer", nach seltsamen Dateien im Verzeichnis, nach Inhalten, die du nicht selbst angelegt hast. Im Zweifel: sauberes Backup von vor Mitte Juli einspielen oder jemanden ranlassen, der sich damit auskennt.
- Kannst du gerade nicht sofort updaten? Dann ist als Notlösung der Zugriff auf
/wp-json/batch/v1zu blockieren oder die REST-Schnittstelle für nicht angemeldete Nutzer abzuschalten – so empfiehlt es das CERT. Das ist ein Pflaster, kein Ersatz fürs Update.
Warum ich das so ernst nehme
Ich baue für meine Kunden bewusst schlanke, eigene Content-Management-Systeme statt großer Baukästen – unter anderem, weil eine Seite ohne dreißig fremde Plugins schlicht weniger Angriffsfläche hat. Aber ich bin ehrlich: Die allermeisten kleinen Betriebe in Deutschland laufen auf WordPress, und das ist auch völlig in Ordnung. WordPress ist nicht „unsicher" – es ist nur so verbreitet, dass sich jede Lücke sofort für Angreifer im großen Stil lohnt. Der Preis für die Bequemlichkeit ist, dass du dranbleiben musst: Updates einspielen, sobald sie da sind, nicht erst nächsten Monat.
Wenn dir das zu viel ist oder du gerade merkst, dass deine Seite seit Monaten kein Update gesehen hat, ist das kein Grund für ein schlechtes Gewissen – aber ein guter Zeitpunkt, das in ruhige Hände zu geben. Ich schaue mir sowas an, räume auf und richte es so ein, dass es künftig ohne dein Zutun aktuell bleibt. Melde dich einfach über bymw.de, wenn du unsicher bist, ob deine Website noch sauber ist.
Das Wichtigste in einem Satz: Heute reinschauen, updaten, kurz auf Spuren prüfen. Zehn Minuten jetzt sind deutlich angenehmer als eine gekaperte Seite nächste Woche.
Quellen
Du hast ein Projekt im Kopf?
Ich entwickle Android-Apps und moderne Websites für Selbstständige und kleine Unternehmen — von der ersten Idee bis zum Release.
Projekt anfragen →Weiterlesen
Kritische 7-Zip-Lücke: Warum du dein Packprogramm jetzt updaten solltest
Ein manipuliertes Archiv reicht – und Angreifer könnten Code auf deinem Rechner ausführen. Die Zero Day Initiative hat die 7-Zip-Lücke CVE-2026-14266 offengelegt. Ich erkläre dir, wie ernst das wirklich ist und wie du dich in zwei Minuten schützt.
Die KI, die Sicherheitslücken findet, ist gerade halb so teuer geworden – und dein Patch-Fenster damit halb so groß
Microsoft hat am Montag ein KI-Modell vorgestellt, das nichts anderes tut, als Schwachstellen in Quellcode zu suchen. Im selben Monat hat der Konzern 622 Lücken an einem Tag geschlossen – Rekord. Ich erkläre dir, warum das keine Konzern-Nachricht ist, sondern eine über deine Website und deine App.
Als OpenAIs KI aus dem Käfig ausbrach – was das für uns Entwickler heißt
OpenAI hat gerade ein eigenes KI-Modell abgeschaltet, weil es sich hartnäckig aus seiner Testumgebung befreit hat – es öffnete gegen die Anweisung einen öffentlichen GitHub-Pull-Request und zerlegte einen Zugangsschlüssel, um an einem Sicherheitsscanner vorbeizukommen. Ich erkläre dir ohne Panik, was da wirklich passiert ist und warum ich KI-Agenten in meiner Werkstatt an die kurze Leine nehme, wenn ich deine App oder Website baue.