WordPress-Sicherheitslücken 2026: Was hinter wp2shell wirklich steckt

Wenn dir in den letzten Tagen der Begriff "wp2shell" begegnet ist, oder eine Warnung zu Elementor Pro oder Fluent Forms: Hier bekommst du die Fakten ohne unnötige Panik.

Vorweg, weil das oft durcheinandergerät: Nicht jede Sicherheitslücke entsteht durch schlecht gepflegte Plugins. wp2shell zum Beispiel steckt direkt im sogenannten WordPress-Kern. Also in der Software, die jede WordPress-Website antreibt, unabhängig davon, welche Plugins darauf laufen.

wp2shell: Die Lücke sitzt im WordPress-Kern selbst

Unter dem Namen "wp2shell" wird seit Mitte Juli und auch noch aktuell eine kritische Sicherheitslücke im WordPress-Kern ausgenutzt (CVE-2026-63030 und CVE-2026-60137). Kritisch heißt hier wörtlich: Angreifer können sich ohne Login-Daten Zugriff verschaffen und eine sogenannte Webshell installieren. Das ist eine Hintertür, über die sie danach die komplette Kontrolle über die Website übernehmen können. Die Lücke wird bereits aktiv ausgenutzt, nicht nur theoretisch beschrieben.

Du fragst zurecht: Warum immer noch aktuell, wenn schon seit Juli bekannt? Nun, viele merken gar nicht, dass sie betroffen sind. Das ist das Gemeine an der Sache. Die Hacker gelangen nahezu unbemerkt ins System.

Und der wichtige Unterschied zu vielen anderen Sicherheitsmeldungen: Es geht hier nicht um ein Drittanbieter-Plugin, das du vielleicht installiert hast oder nicht. Es geht um WordPress selbst. Wenn dein WordPress-Kern nicht auf dem aktuellen Stand ist, bist du unabhängig davon gefährdet, wie gewissenhaft du sonst deine Plugins pflegst. Die Lösung ist entsprechend eindeutig: WordPress-Kern zeitnah auf die aktuelle Version bringen, nicht nur die Plugins.

Wichtig: wp2shell wurde bereits im Juli mit WordPress 7.0.2 geschlossen. Falls du zwischenzeitlich betroffen warst, reicht das bloße Updaten aber nicht aus. Denn dann hast du den "Gegner" schon im System, und die Bereinigung wird deutlich aufwendiger.

Nach dem ursprünglichen Fix folgten im August mit WordPress 7.0.3 und 7.0.4 direkt weitere Sicherheitsupdates. Version 7.0.3 allein hat laut Herstellerangaben 12 weitere Lücken geschlossen. Ein guter Beleg dafür, wie viel sich gerade im WordPress-Kern tut.

Woran erkenne ich, ob meine Seite betroffen ist?

Ein Hack bleibt selten offensichtlich. Oft merken Betreiber:innen monatelang nichts. Ein paar konkrete Warnzeichen, auf die du achten kannst:

• Unbekannte Admin-Accounts: Unter "Benutzer" im WordPress-Backend taucht ein Account auf, den du nicht angelegt hast. Oft mit vollen Admin-Rechten
• Fremde Dateien: Im Ordner wp-content/uploads liegen plötzlich PHP-Dateien. Dort gehören normalerweise nur Bilder und Dokumente hin
• Ungewollte Weiterleitungen: Deine Seite leitet Besucher auf fremde Adressen um, oder zeigt Werbung/Spam, die nicht von dir stammt
• Warnungen von Google oder Browser: Die Google-Suche zeigt "Diese Website wurde eventuell gehackt" an, oder der Browser warnt beim Aufruf vor einer unsicheren Seite
• Plötzlich spürbar langsamer: Ungewöhnlich hohe Ladezeiten oder Serverlast, ohne dass du etwas geändert hast
• Hinweis vom Hoster: Dein Hosting-Anbieter meldet sich wegen verdächtiger Aktivität auf deinem Webspace

Was tun bei Verdacht: Nicht selbst herumprobieren, wenn du dir unsicher bist. Das kann Spuren verwischen, die für die Bereinigung wichtig wären. Stattdessen: Hoster informieren, alle Passwörter ändern (auch FTP, Mail, SALT, Datenbank, nicht nur WordPress-Login). Ebenso solltest du die API-Verbindungen zu externen Tools erneuern. Und wenn vorhanden ein Backup von vor dem Verdachtszeitpunkt bereithalten.

Ohne aktuelles Backup kann es schnell knifflig werden. Nicht bei jedem Hack gelingt es mühelos, die Seite wieder fehlerfrei an den Start zu bringen. Denke als Unternehmer auch an die DSGVO, falls ein möglicher Datenabgang vorgekommen ist.

Im Zweifel lieber einmal zu früh fachliche Hilfe holen als zu spät.

Weitere Sicherheitslücken: Elementor Pro, Fluent Forms & Co.

Neben wp2shell kursieren aktuell auch Meldungen zu weiteren verbreiteten Plugins. Hier lohnt sich ein kurzer, differenzierter Blick.

Elementor Pro: Es wurde eine kritische Sicherheitslücke gemeldet, die aktiv ausgenutzt wird, um Websites zu übernehmen. Betroffen sind Seiten, die mit dem Elementor-Pro-Plugin gebaut wurden. Ich selbst arbeite grundsätzlich nicht (mehr) mit Page-Buildern wie Elementor oder Divi. Unter anderem genau wegen solcher wiederkehrenden Sicherheits- und Update-Themen. Warum, erkläre ich ausführlicher in meinem Beitrag zum Page-Builder-Vergleich.

Fluent Forms: Für dieses Plugin wurden zuletzt mehrere Sicherheitslücken gemeldet, unter anderem eine XSS-Schwachstelle, eine Path-Traversal-Lücke und eine Auth-Bypass-Lücke. Klingt alles sehr technisch und nerdig. Es gibt aber irgendwie keine anderen Worte dafür. Da ich Fluent Forms selbst in vielen Kundenprojekten einsetze, behalte ich das im Blick: Formulare sind ein beliebtes Angriffsziel, weil sie direkt Nutzereingaben verarbeiten. Die klare Empfehlung: Update installieren, sobald es verfügbar ist. Achtung: zeitnah, nicht "irgendwann".

All-in-One WP Migration and Backup: Auch hier gibt es aktuell eine kritische Lücke. Eine unauthentifizierte SQL-Injection (CVE-2026-19949), die im schlimmsten Fall bis zur vollständigen Übernahme der Seite führen kann. Betroffen sind mehrere Millionen Installationen. Der Hersteller hat das Problem in Version 7.110 behoben. Ich setze dieses Plugin selbst häufig ein. Das Update ist hier also keine Kür, sondern Pflicht. Kleine Memo an mich selbst ...

Gravity Forms: Auch für dieses verbreitete Formular-Plugin wurden zuletzt mehrere Sicherheitslücken gemeldet, überwiegend im Bereich Cross-Site-Scripting (XSS). Wie bei jedem Formular-Plugin gilt: Update zeitnah einspielen, sobald verfügbar.

Das sind nur Momentaufnahmen aus dem frühen Herbst 2026. Kein Plugin ist sicher vor einer Lücke. Etwaige Updates des Herstellers dienen daher nicht immer nur der Bereitstellung neuer Funktionen, vielmehr werden auch "Fehler" (Bugs) und Sicherheitslücken ausgebessert.

Häufig gestellte Fragen

Dein Quick-Check: 5 Minuten investieren

Du musst nicht alles auf einmal durchgehen. Aber diese fünf Punkte kannst du noch heute prüfen:

• WordPress-Version prüfen: Backend → Dashboard → Updates. Läuft die aktuelle Version (mindestens 7.1)?
• Plugins und Themes aktuell? Updates nicht aufschieben. Ganz besonders bei Formular- und Page-Builder-Plugins
• Benutzerliste durchgehen: Benutzer → Alle Benutzer. Erkennst du jeden Account mit Admin-Rechten?
• Passwörter und Zugänge: Starkes, einzigartiges Passwort, wenn möglich Zwei-Faktor-Authentifizierung aktivieren. Meine Passwörter haben meist bis zu 30 Zeichen ...
• Backup vorhanden? Ein aktuelles Backup, das im Ernstfall eingespielt werden kann, ist deine wichtigste Versicherung. Ansonsten hast du im schlimmsten Fall keine funktionierende Website mehr und du kannst von vorn anfangen.

👉 Wie du ein Backup einrichtest, das im Ernstfall wirklich funktioniert: WordPress Backup erstellen: So sicherst du deine Website richtig

Wer sich dabei nicht sattelfest fühlt oder einfach sichergehen will: Genau das schaue ich mir in meiner Website-Analyse gemeinsam mit dir an. Und mit meinem Wartungspaket übernehme ich regelmäßig Updates, Backups und diesen Check für dich, damit du nicht selbst daran denken musst.

Ich werde nicht bei jeder neuen Sicherheitslücke eine Mail an meinen kompletten Verteiler schreiben. Das wäre für dich wie für mich wenig sinnvoll. Wer aber zeitnah informiert bleiben möchte, wenn es mal wieder wichtig wird, kann sich für meinen Newsletter anmelden.

Fazit

wp2shell zeigt gut, warum "meine Plugins sind aktuell" allein nicht reicht. Der WordPress-Kern selbst gehört genauso zur Pflege dazu. Die gute Nachricht: Der Fünf-Minuten-Check oben deckt die häufigsten Einfallstore ab, und die meisten Punkte lassen sich ohne fremde Hilfe erledigen.

Einfach anfangen. Am besten mit der WordPress-Version 7.1 (Stand heute, 8.9.2026).