Derzeit kommt es weltweit zu einer zunehmenden Angriffswelle auf WordPress-Webseiten. Cyberkriminelle nutzen kritische Schwachstellen aus, um verwundbare Systeme anzugreifen und im schlimmsten Fall vollständig zu übernehmen.
Besonders kritisch ist, dass sich die Sicherheitslücke direkt im WordPress-Kern (Core) befindet und nicht in einem Plugin oder Theme. Dadurch können zahlreiche WordPress-Installationen betroffen sein.
Auch wir beobachten im Rahmen unserer Incident-Response-Einsätze derzeit eine steigende Zahl von Sicherheitsvorfällen im Zusammenhang mit kompromittierten WordPress-Installationen. Dies unterstreicht, wie wichtig es ist, betroffene Systeme zeitnah zu aktualisieren und auf Anzeichen einer Kompromittierung zu überprüfen.
Im Folgenden erfahren Sie, wie die Angriffskette funktioniert, warum sie ein hohes Risiko für Unternehmen darstellt und welche Maßnahmen jetzt empfohlen werden.
Was ist passiert?
Die unter dem Namen „WP2Shell“ bekannte Angriffskette kombiniert zwei Schwachstellen (CVE-2026-63030 und CVE-2026-60137). Gemeinsam ermöglichen sie es Angreifern, Datenbankabfragen zu manipulieren (SQL-Injection – das Einschleusen von Datenbankbefehlen) und anschließend eigenen Schadcode auf dem Webserver auszuführen (Remote Code Execution – das Ausführen von Befehlen aus der Ferne).
Für den Angriff sind keine gültigen Zugangsdaten erforderlich. Stattdessen nutzen die Angreifer die Schwachstellen, um Sicherheitsmechanismen zu umgehen und die Kontrolle über eine verwundbare WordPress-Installation zu übernehmen. Nach einer erfolgreichen Kompromittierung können unter anderem Webshells (Programme, die Angreifern einen dauerhaften Fernzugriff auf den Server ermöglichen) oder andere Hintertüren installiert, Webseiten manipuliert, Schadsoftware verbreitet oder vertrauliche Daten entwendet werden.
Warum ist das so kritisch?
Die Angriffskette erreicht mit einem CVSS-Wert von 9,8 von 10 Punkten einen der höchstmöglichen Schweregrade. Besonders kritisch ist jedoch, dass die Schwachstelle bereits aktiv ausgenutzt wird.
Auch wir beobachten im Rahmen unserer Incident-Response-Einsätze derzeit eine zunehmende Zahl von Sicherheitsvorfällen im Zusammenhang mit kompromittierten WordPress-Installationen. In mehreren Fällen verschafften sich Angreifer über installierte Webshells dauerhaft Zugriff auf den Webserver, entwendeten sensible Daten oder nutzten kompromittierte Systeme, um weitere Webseiten innerhalb derselben Hosting-Umgebung anzugreifen.
Da WordPress zu den weltweit am häufigsten eingesetzten Content-Management-Systemen (CMS) gehört und viele Webseiten öffentlich erreichbar sind, suchen Angreifer automatisiert nach verwundbaren Installationen. Nicht aktualisierte Systeme können dadurch innerhalb kurzer Zeit kompromittiert werden.
Was ist betroffen?
|
Nicht betroffen sind folgende WordPress-Versionen, da die Schwachstelle dort bereits behoben wurde. Auf diese Versionen sollten Sie Ihre Systeme aktualisieren: |
|
Wie kann ich mich schützen?
Unternehmen und Webseitenbetreiber sollten zeitnah prüfen, ob ihre WordPress-Installation betroffen ist, und geeignete Schutzmaßnahmen ergreifen. Wir empfehlen insbesondere folgende Schritte:
Wichtig: Ein Sicherheitsupdate verhindert zwar weitere Angriffe, entfernt jedoch keine bereits installierten Hintertüren oder Schadsoftware. Besteht der Verdacht auf eine erfolgreiche Kompromittierung, sollte der Vorfall zunächst forensisch untersucht werden. Erst danach sollte über eine Bereinigung oder Wiederherstellung des Systems entschieden werden, um mögliche Beweise zu sichern und den tatsächlichen Umfang des Angriffs zu bewerten.
Fazit
Die aktuelle Angriffswelle verdeutlicht einmal mehr, wie schnell Cyberkriminelle kritische Schwachstellen in weit verbreiteten Webanwendungen ausnutzen. Gerade bei öffentlich erreichbaren Systemen wie WordPress können zwischen der Veröffentlichung einer Sicherheitslücke und den ersten Angriffen nur wenige Stunden oder Tage liegen.
Unternehmen sollten daher nicht nur die verfügbaren Sicherheitsupdates zeitnah installieren, sondern ihre Systeme regelmäßig auf Anzeichen einer Kompromittierung überprüfen. Dazu gehören insbesondere die Kontrolle von Benutzerkonten, installierten Erweiterungen sowie der Webserver-Protokolle.
Wer sich intensiver mit Angriffen auf Content-Management-Systeme und geeigneten Schutzmaßnahmen beschäftigen möchte, findet weitere Informationen in unserem Whitepaper „CMS-Systeme unter Beschuss„. Darin zeigen wir typische Angriffsmethoden, häufige Schwachstellen und bewährte Maßnahmen, mit denen sich WordPress und andere CMS-Lösungen wirksam absichern lassen.
Sie möchten über aktuelle Bedrohungen und Sicherheitslücken informiert bleiben?
Abonnieren Sie unseren Newsletter und erhalten Sie wichtige Warnmeldungen, Handlungsempfehlungen und Einschätzungen zu aktuellen Cyberrisiken direkt in Ihr Postfach.
Quellen & weiterführende Informationen