WordPress-Lücke: EKD-Betroffenennetzwerk 'BeNe' gehackt

Schritt für Schritt
So lief der Angriff ab
Klicken Sie auf eine Phase für Details – oder lassen Sie die Animation durchlaufen.
PHASE 1/6 · Erstzugriff

Angreifer nutzten die verkettete WordPress-Core-Schwachstelle „wp2shell“ aus, um ohne Anmeldung Zugriff auf die BeNe-Plattform zu erlangen.

T1190 – Exploit Public-Facing Application
  • CVE-2026-60137 (CVSS 9,1): SQL-Injection über den Parameter author__not_in der WP_Query-Klasse
  • CVE-2026-63030 (CVSS 7,5): ungeschützter REST-API-Endpunkt /wp-json/batch/v1
  • Betroffen: WordPress 6.9.0–6.9.4 sowie 7.0.0–7.0.1
  • Kein Login, keine Zugangsdaten und kein Plugin nötig – anonym aus der Ferne ausnutzbar
PHASE 2/6 · Ausführung

Durch die Verkettung beider Lücken führten die Angreifer beliebigen Code auf dem Webserver aus (Remote Code Execution).

T1059 – Command and Scripting Interpreter
  • Kombination der beiden Lücken ermöglicht vollständige RCE ohne Vorbedingungen
  • Proof-of-Concept-Exploits ab dem 19./20. Juli 2026 frei verfügbar
  • Automatisierte Bots griffen ungepatchte Installationen im großen Stil an
  • Weltweit über 500 Mio. WordPress-Installationen potenziell betroffen
PHASE 3/6 · Rechteausweitung

Die Angreifer legten unberechtigte Administratorenkonten an, um volle Kontrolle über die Plattform zu erlangen.

T1136.001 – Create Account: Local Account
  • Anlegen von Admin-Konten nach Muster wpsvc_[Hash]@wordpress-svc.internal
  • EKD bestätigte die Konten und entfernte sie nachträglich
  • Zugriff verschaffte den Angreifern volle administrative Rechte
PHASE 4/6 · Persistenz

Über Schadplugins und manipulierte Kerndateien sicherten sich die Angreifer dauerhaften Zugriff.

T1505.003 – Server Software Component: Web Shell T1546 – Event Triggered Execution
  • Installation von Schadplugins wie „Database Repair Assistant“ und wp2s-[Hash]
  • Schadcode in .htaccess und index.php eingeschleust
  • Code regenerierte sich nach Updates automatisch neu
PHASE 5/6 · Exfiltration

Die Angreifer kopierten mutmaßlich große Teile der Datenbank mit hochsensiblen Betroffenendaten.

T1005 – Data from Local System T1041 – Exfiltration Over C2 Channel
  • Mit hoher Wahrscheinlichkeit Datenabfluss in größerem Ausmaß
  • Betroffen: verschlüsselte Passwörter, verschlüsselte Forenbeiträge und private Nachrichten
  • Inhalte über sexualisierte Gewalt und Gesundheitsfolgen von Betroffenen
  • Kompromittierung vermutlich zwischen 17. und 21. Juli 2026
PHASE 6/6 · Auswirkung

Der Datenabfluss führt zu massivem Kontrollverlust der Betroffenen und drohenden Phishing-Angriffen.

T1657 – Financial Theft T1598 – Phishing for Information
  • BSI warnt ausdrücklich vor anschließenden Phishing-Angriffen gegen Nutzer
  • Entschlüsselung der Passwörter könnte private Inhalte lesbar machen
  • EKD nahm BeNe erst am 21. Juli offline – zu spät
  • Betroffenenvertreter Detlev Zander spricht von erneutem massivem Kontrollverlust
Kurz & knapp beantwortet
Häufige Fragen zu diesem Vorfall
Ist meine WordPress-Website von der wp2shell-Lücke betroffen?
Betroffen sind die WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 und 7.0.1. Prüfen Sie Ihre Version im Backend unter „Dashboard → Aktualisierungen“ oder geben Sie Ihre URL auf https://wp2shell.com/ ein. Nicht betroffen sind Version 6.8.5 und älter sowie die gepatchten Versionen 6.9.5, 6.8.6 und 7.0.2.
Was muss ich jetzt sofort tun?
Aktualisieren Sie WordPress umgehend auf Version 7.0.2 bzw. 6.9.5 – das ist die wichtigste Maßnahme. Prüfen Sie anschließend, ob Ihre Installation bereits kompromittiert wurde, indem Sie unbekannte Admin-Konten, verdächtige Plugins und veränderte Dateien wie index.php und .htaccess kontrollieren. Verlassen Sie sich nicht allein auf das automatische Sicherheitsupdate.
Wie erkenne ich, ob meine Seite bereits gehackt wurde?
Suchen Sie unter „Benutzer → Alle Benutzer“ nach unbekannten Admin-Konten, insbesondere im Muster wpsvc_[Hash]@wordpress-svc.internal. Prüfen Sie unter „Plugins“ neu installierte oder unbekannte Erweiterungen wie „Database Repair Assistant“ oder wp2s-[Hash]. Verdächtig ist außerdem, wenn sich die Dateien index.php oder .htaccess selbstständig regenerieren; ergänzend können Sie den „Compromise Scanner for wp2shell“ nutzen.
Was macht diese Sicherheitslücke so gefährlich?
wp2shell besteht aus zwei verketteten Lücken im WordPress-Core (CVE-2026-60137 und CVE-2026-63030), die zusammen eine Remote Code Execution ermöglichen. Ein nicht eingeloggter Angreifer kann aus der Ferne beliebigen Code ausführen – ohne Zugangsdaten und ohne dass ein Plugin installiert sein muss. Da die Lücke leicht automatisierbar ist, griffen bereits kurz nach Bekanntwerden automatisierte Bots ungepatchte Installationen im großen Stil an.
Muss ich den Vorfall melden, wenn Daten abgeflossen sind?
Wenn personenbezogene Daten betroffen sind, greift die Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzbehörde. Das BSI warnt zudem ausdrücklich vor anschließenden Phishing-Angriffen gegen betroffene Nutzer, sodass eine Information der Betroffenen ratsam ist. Werten Sie hierfür auch Ihre Server-Logs ab dem 17. Juli 2026 auf ungewöhnliche Zugriffe aus.
Weitere Security-News
Das könnte Sie auch interessieren
Kritische Elementor-Pro-Lücke: Angreifer können WordPress-Seiten komplett übernehmen
Ein Datei-Upload-Bug in Elementor Pro bis 4.2.1 erlaubt RCE ohne Login. Version 4.2.2 schließt die Lücke – jetzt aktualisieren!
Pods-Plugin: Kritische Lücke erlaubt Admin-Übernahme ohne Login
Eine kritische Schwachstelle im WordPress-Plugin Pods lässt Angreifer ohne Login Admin-Passwörter überschreiben. Über 100.000 Sites betroffen.
miniOrange SAML SSO: Kritischer Bypass macht Angreifer zu WordPress-Admins
Zwei kritische Auth-Bypässe im miniOrange SAML SSO Plugin erlauben gefälschte SAML Assertions – bis hin zum vollen Admin-Zugriff.