Das Wichtigste in Kürze
- Am 17. Juli 2026 hat WordPress die Version 7.0.2 veröffentlicht. Sie schließt zwei Sicherheitslücken, zusammen "wp2shell" genannt.
- Zusammen erlauben die beiden Lücken einem Angreifer, ohne Login fremden Code auf deiner Seite auszuführen. Das BSI stuft das als kritisch ein.
- WordPress hat für betroffene Seiten ein Zwangs-Update eingeschaltet. Viele Seiten sind dadurch schon auf einer sicheren Version.
- Betroffen waren die Versionen 6.8 bis 7.0.1. Sicher sind 7.0.2, 6.9.5 und 6.8.6. Ältere Versionen als 6.8 sind laut WordPress nicht betroffen.
- Prüfe heute, welche Version deine Seite nutzt. Läuft sie auf einer sicheren Version, bist du wahrscheinlich schon geschützt. Wenn nicht, handle jetzt.
Die Schlagzeilen der letzten Tage klingen bedrohlich. "Kritische Lücke", "Millionen Seiten in Gefahr", "sofort handeln". Wenn du eine WordPress-Seite hast, ist die erste Reaktion oft Bauchweh.
Pass mal auf. Die gute Nachricht zuerst: Für die meisten Seiten hat WordPress im Hintergrund schon etwas getan. Panik hilft dir hier nicht. Ein kurzer, klarer Blick schon.
In diesem Beitrag erklären wir dir in normalem Deutsch, was passiert ist. Du erfährst, wie du in drei Schritten prüfst, ob deine Seite sicher ist. Und du siehst, woran du erkennst, ob doch jemand durch die Tür war.
Was genau passiert ist
Stell dir deine Website wie ein Haus vor. Eine Sicherheitslücke ist ein Fenster, das sich von außen öffnen lässt.
Am 17. Juli 2026 hat das WordPress-Team die Version 7.0.2 herausgegeben. Diese Version schließt zwei solcher Fenster. Fachleute haben die Kombination "wp2shell" getauft.
Das Besondere daran: Beide Lücken zusammen ergeben etwas Gefährliches. Ein Angreifer kann darüber eigenen Code auf der Seite ausführen. Und zwar ohne Passwort, ohne Login. Im Bild vom Haus heißt das: Der Einbrecher braucht keinen Schlüssel.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI, die staatliche Stelle für IT-Sicherheit) hat dazu eine Warnung veröffentlicht. Die Einstufung: kritisch. Am 20. Juli meldete das BSI, dass es erste Angriffe gibt und dass fertige Angriffs-Werkzeuge im Umlauf sind.
Klingt schlimm. Ist es für ungeschützte Seiten auch. Deshalb lohnt der nächste Abschnitt.
Bist du betroffen? So prüfst du es in 3 Schritten
Du musst dafür kein Technik-Profi sein. Diese drei Schritte reichen für einen ersten Überblick.
Schritt 1: Welche WordPress-Version läuft? Melde dich in deinem WordPress-Dashboard an (die Verwaltungsseite, meist unter deine-domain.de/wp-admin). Unten rechts steht die Versionsnummer. Sicher sind 7.0.2, 6.9.5 und 6.8.6, oder neuer. Steht dort eine dieser Zahlen, hat das Update schon gegriffen.
Schritt 2: Sind automatische Updates an? WordPress kann sich selbst aktualisieren. Bei dieser Lücke hat WordPress das Update sogar erzwungen. Läuft deine Seite bei einem üblichen Hoster mit aktiven Auto-Updates, ist sie mit hoher Wahrscheinlichkeit schon auf einer sicheren Version. Bist du unsicher, frag deinen Hoster oder deinen Betreuer, ob Auto-Updates aktiv sind.
Schritt 3: Gibt es fremde Benutzerkonten? Öffne im Dashboard den Punkt "Benutzer". Schau die Liste durch. Kennst du jedes Konto mit Administrator-Rechten? Patchstack rät ausdrücklich, nach unbekannten Nutzern zu suchen. Ein fremdes Admin-Konto ist ein Alarmzeichen.
Wenn Version und Auto-Updates passen und keine fremden Konten auftauchen, sieht es gut aus. Wenn nicht, geht es im nächsten Abschnitt weiter.
Was das Zwangs-Update schon erledigt hat, und was nicht
Hier ist die ehrliche Einordnung, ohne Beruhigungspille.
WordPress hat das Update über den eigenen Auto-Update-Mechanismus erzwungen. Das ist so, als würde der Hersteller deines Türschlosses es aus der Ferne austauschen, ohne dass du etwas tun musst. Für Seiten mit aktiven Auto-Updates ist das ein großer Schutz.
Nur greift dieser Schutz nicht überall. Er hilft nicht, wenn jemand die automatischen Updates abgeschaltet hat. Er hilft nicht, wenn deine Seite in einem Setup läuft, das Updates blockiert. Und er hilft nicht rückwirkend, falls ein Angreifer schon vor dem Update durch das Fenster kam.
Deshalb ist "WordPress hat das schon gemacht" nur die halbe Wahrheit. Der Reflex "alles automatisch, ich muss nichts tun" ist bequem, aber riskant. Ein kurzer Blick auf die drei Schritte oben ersetzt die Vermutung durch Gewissheit.
Und noch etwas: Diese Lücke steckte im WordPress-Kern selbst, nicht in einem Plugin (einer Zusatz-Funktion). Das ist selten. Meist kommen Sicherheitsprobleme über veraltete Plugins herein. Der Kern-Fall zeigt aber, warum Updates keine lästige Pflicht sind, sondern dein Türschloss.
Wenn doch jemand durch die Tür war: die Anzeichen
Sagen wir, du hast Zweifel. Vielleicht liefen die Auto-Updates nicht, vielleicht war die Seite lange auf einer alten Version. Dann lohnt ein genauerer Blick.
Typische Anzeichen für eine gekaperte Seite: neue Benutzerkonten, die du nicht angelegt hast. Beiträge oder Weiterleitungen, die niemand aus deinem Team geschrieben hat. Dateien mit seltsamen Namen im Verzeichnis. Oder Warnungen deines Hosters wegen auffälligem Verhalten.
Wenn du so etwas siehst, gilt: nicht überstürzt löschen. Sonst verwischst du die Spuren. Der ruhigere Weg ist, die Seite von jemandem prüfen zu lassen, der weiß, worauf zu achten ist. Ein sauberes Update allein entfernt keinen Eindringling, der schon drin ist.
Das ist der Punkt, an dem viele kleine Firmen unsicher sind. Verständlich. Genau hier hilft ein Blick von außen, statt tagelang selbst zu rätseln.
Was du daraus für die Zukunft mitnimmst
Ein offenes Wort aus der Praxis. Wir betreuen WordPress-Seiten seit 2007, von der kleinen Firmenseite bis zum Shop. Was wir bei solchen Lücken immer wieder sehen: Nicht die Lücke ist das Problem. Das Problem ist die veraltete Seite, die niemand pflegt.
Das Muster ist fast immer gleich. Eine Firma lässt sich eine schöne Seite bauen. Danach kümmert sich niemand mehr um Updates. Monate später steht sie auf einer alten Version, und die nächste Lücke trifft sie mit voller Wucht.
Der ruhige Weg ist unspektakulär. Erstens: Auto-Updates für den WordPress-Kern anlassen. Zweitens: einmal im Monat kurz prüfen, ob Kern, Plugins und Design aktuell sind. Drittens: Backups (Sicherungskopien) haben, falls doch etwas schiefgeht. Das ist kein großer Aufwand, sondern Wartung. Wie beim Auto der regelmäßige Ölwechsel.
Wenn dir diese Pflege zu viel wird oder du keine Zeit dafür hast, kann man sie abgeben. Wir übernehmen WordPress-Wartung ab 9,90 Euro im Monat. Nicht als Verkaufsmasche, sondern weil eine gepflegte Seite bei genau solchen Wochen ruhig bleibt.
Fazit
Die WordPress-Lücke von Juli 2026 ist ernst. Sie erlaubt Angriffe ohne Login, sie wird aktiv ausgenutzt, das BSI warnt deutlich. Gleichzeitig hat WordPress mit dem erzwungenen Update viele Seiten schon geschützt.
Der Unterschied zwischen "sicher" und "gefährdet" ist heute ein kurzer Blick. Prüfe die Version. Prüfe die Auto-Updates. Prüfe die Benutzerliste. Drei Schritte, ein paar Minuten.
Und wenn du unsicher bist, ob deine Seite sauber und aktuell ist, lässt sich das schnell klären. Lieber einmal zu viel geprüft als einmal zu spät.
Häufige Fragen
Welche WordPress-Version ist jetzt sicher?
Sicher sind die Versionen 7.0.2, 6.9.5 und 6.8.6, oder jeweils neuer. WordPress hat diese Versionen am 17. Juli 2026 herausgegeben. Läuft deine Seite auf einer dieser Zahlen, ist die Lücke geschlossen. Versionen vor 6.8 sind laut WordPress von dieser Lücke nicht betroffen.
Muss ich selbst etwas tun, wenn Auto-Updates an sind?
Wahrscheinlich hat WordPress dein Update schon erzwungen. Sicher weißt du es aber erst, wenn du die Version im Dashboard prüfst. Auto-Updates greifen nicht überall, zum Beispiel wenn jemand sie abgeschaltet hat. Der kurze Blick lohnt sich also trotzdem.
Woran erkenne ich, dass meine Seite gehackt wurde?
Achte auf fremde Benutzerkonten, unbekannte Beiträge oder Weiterleitungen und Warnungen deines Hosters. Wenn du so etwas siehst, lösche nichts vorschnell. Lass die Seite prüfen, denn ein Update allein entfernt keinen Angreifer, der schon im System ist.
War die Lücke in einem Plugin oder in WordPress selbst?
Diesmal steckte die Lücke im WordPress-Kern, nicht in einem Plugin. Das ist selten. Meist kommen Sicherheitsprobleme über veraltete Plugins herein. Deshalb gehören Kern und Plugins beide regelmäßig aktualisiert.
Reicht ein Update, oder brauche ich mehr?
Ein Update schließt die Lücke für die Zukunft. Es macht aber nichts rückgängig, falls schon jemand eingedrungen ist. Wenn deine Seite lange veraltet war, prüfe zusätzlich auf Anzeichen eines Angriffs, bevor du dich zurücklehnst.
Quellen
- wordpress.org News: WordPress 7.0.2 Release: behebt eine kritische und eine hohe Schwachstelle, erzwungene Auto-Updates, Backports 6.9.5/6.8.6, Versionen vor 6.8 nicht betroffen, CVE-2026-60137 und CVE-2026-63030. wordpress.org
- Patchstack: Unauthenticated SQL Injection in WordPress Core Fixed in 7.0.2: unauthentifizierte SQL-Injection über REST-API-Batch-Endpoint, Kette zu RCE, aktiv ausgenutzt, sichere Versionen 7.0.2/6.9.5/6.8.6. patchstack.com
- BSI Cybersicherheitswarnung 2026-271984-1032: CVE-2026-60137 + CVE-2026-63030 ermöglichen unauthentifizierte Remote Code Execution; PoCs veröffentlicht, erste Ausnutzungen gemeldet. bsi.bund.de