Bereits Mitte Juli 2026 hat
Wordpress notfallmässig Updates für die zwei Sicherheitslücken CVE-2026-63030 und CVE-2026-60137 veröffentlicht, die in Kombination die Ausführung beliebigen Codes aus der Ferne erlauben ("Swiss IT Magazine"
berichtete). Diese Schwachstellenkette, die die Wordpress-Versionszweige 6.9 und 7.0 betrifft, wurde damals mit WP2Shell benannt und wird aktiv ausgenutzt. Ein grosser Hoster soll in einer Woche über 45 Millionen Angriffsversuche registriert haben.
Der Wiener Monitoring-Anbieter Risikomonitor hat daraufhin alle Websites in Österreich und der Schweiz, die sich als Wordpress-Sites identifizieren lassen,
analysiert – in der Schweiz sind es 242'969, in Österreich 220'413. Hierzulande laufen 62,4 Prozent der Wordpress-Websites mit erkennbarer Version mit der aktualisierten Ausgabe 7.1 des Content-Management-Systems, die am 19. August 2026 veröffentlicht wurde. In Österreich liegt der Anteil mit 56,5 Prozent etwas niedriger. Umgekehrt bedeutet dies, dass in der Schweiz nach wie vor 13'185 Websites auf Basis der verwundbaren Wordpress-Versionen 6.9 und 7.0 arbeiten (Österreich: 15'938). Auch zum Thema erkennbare Version hat Risikomonitor etwas anzumerken: Nur bei 15,4 Prozent der österreichischen Websites war die genaue Version über den RSS-Feed zu ermitteln. In der Schweiz legen sogar bloss 6 Prozent der Wordpress-Websites die Version offen. Eine verborgene Version sei aber keine Sicherheitsmassnahme, denn im Fall WP2Shell hätten die Angreifer wahllos gescannt.
Das Versionsübel geht jedoch noch weiter. In Österreich, so Risikomonitor, basieren noch heute 17'102 Websites auf dem Versionszweig 6.7 oder älter, in der Schweiz sind es 12'660. Diese Versionen sind von WP2Shell allerdings nicht betroffen – der fehlerhafte Code ist darin nicht enthalten. Aber diese Versionen erhalten keinerlei Sicherheitsupdates mehr und arbeiten oft mit ebenso veralteten Plug-ins, was insgesamt ein deutliches Sicherheitsrisiko darstellt.
(ubi)
