Dringendes WordPress-Update 7.0.2 (wp2shell). Was bedeutet das, wenn Sie SMS über eine API versenden?

wp2shell ist eine Schwachstelle vom Typ pre-auth RCE, also die Remote-Ausführung von Code ohne Authentifizierung. Der Angreifer benötigt weder ein Konto noch ein Passwort noch irgendein Plugin – verwundbar ist die Standardinstallation von WordPress. Technisch handelt es sich um eine Kombination aus einem Routing-Fehler im REST-API-Endpunkt /wp-json/batch/v1 und einer SQL-Injection.

Die Lücke wurde von Adam Kues von Assetnote (Searchlight Cyber) entdeckt und über das HackerOne-Programm von WordPress gemeldet. Die Releases vom 17. Juli 2026 schließen zwei Schwachstellen auf einmal:

• CVE-2026-63030 – die zentrale wp2shell-Kette (ein Routing-Fehler in der REST API, der zusammen mit einer SQL injection zur Codeausführung führt),
• CVE-2026-60137 – eine SQL-Injection in der Komponente WP_Query.

Das Assetnote-Team hat unter der Adresse wp2shell.com einen öffentlichen Tester bereitgestellt, mit dem Sie prüfen können, ob Ihre Installation verwundbar ist. Da das Werkzeug öffentlich ist, sollten Sie davon ausgehen, dass es auch Angreifer nutzen – deshalb zählt jede Stunde.

Der verwundbare Code tauchte erst im 6.9-Zweig auf (Dezember 2025), sodass ältere Installationen vor dieser konkreten Lücke sicher sind. Das bedeutet nicht, dass man sie nicht aktualisieren muss.

Die Versionsnummer finden Sie im WordPress-Dashboard (Dashboard → Aktualisierungen) oder in der Fußzeile des Administrationsbereichs.

Man denkt schnell „das ist doch nur die Website”. Aber wenn Sie auf WordPress eine eigene Integration betreiben, die SMS über die SENDLY API versendet, dann liegt irgendwo dort – in wp-config.php, in der Optionstabelle oder in den Plugin-Einstellungen – Ihr API-Token. Bei einer Schwachstelle, die Codeausführung ohne Anmeldung ermöglicht, kann ein Angreifer:

• den API-Token auslesen und SMS auf Ihre Kosten versenden – das klassische Hochtreiben der Rechnung, oft nachts und an ausländische Nummern,
• die Telefonnummern Ihrer Kunden aus der Bestelldatenbank abgreifen, also personenbezogene Daten, mit Konsequenzen nach der DSGVO,
• den Inhalt der versendeten Nachrichten austauschen, zum Beispiel einen Phishing-Link in Ihre Benachrichtigungen einschleusen.

Mit anderen Worten: Eine Lücke in WordPress ist bei Ihnen nicht nur ein Problem der Website, sondern auch Ihres SMS-Budgets und des Vertrauens Ihrer Kunden. Deshalb behandeln wir dieses Update für unsere Nutzer als dringend.

1. Aktualisieren Sie WordPress auf 7.0.2 (oder 6.9.5 / 6.8.6). Wenn Sie automatische Core-Updates aktiviert haben, ist das wahrscheinlich schon von selbst geschehen – überprüfen Sie die Version trotzdem.

2. Erstellen Sie ein Backup vor dem Update und prüfen Sie, falls Sie eine ungewöhnliche Plugin-Zusammenstellung haben, die Kompatibilität auf einer Testkopie.

3. Können Sie nicht sofort aktualisieren? Blockieren Sie vorübergehend den anonymen Zugriff auf die REST API oder gezielt auf den Pfad /wp-json/batch/v1 über eine WAF (z. B. Cloudflare). Das stoppt den Angriffsvektor, bevor Sie den Patch einspielen.

4. Testen Sie Ihre Installation nach dem Update auf wp2shell.com.

Und jetzt der SENDLY-spezifische Teil:

• Falls auch nur der geringste Verdacht besteht, dass die Website kompromittiert wurde – generieren Sie im SENDLY-Panel einen neuen API-Token. Der alte funktioniert sofort nicht mehr, sodass der Angreifer den Zugriff verliert.
• Bewahren Sie den Token in einer Umgebungsvariablen oder einem Secret auf, nicht im Code, der in ein Repository hochgeladen wird.
• Nutzen Sie unsere Limits und täglichen Caps – selbst wenn der Token durchsickert, begrenzen sie das Ausmaß eines möglichen Missbrauchs. Das ist die Schicht, die das Budget rettet, wenn alles andere versagt.

Diese Geschichte zeigt gut, wie viel Aufmerksamkeit eine selbst gebaute Integration erfordert: Jemand muss sie pflegen, die Releases des WordPress-Cores verfolgen und reagieren, wenn eine solche Lücke auftaucht. Bei der Fülle anderer Aufgaben wird das leicht übersehen.

Deshalb arbeiten wir an einem offiziellen Plugin, das SENDLY mit WooCommerce integriert, und stellen es schon bald bereit. Es nimmt Ihnen genau diese Arbeit ab:

• sichere Aufbewahrung des Tokens und eine einfache, sichere Verbindung statt manuellem Einfügen von Schlüsseln,
• Wartung und Kompatibilität mit den nächsten Versionen von WordPress und WooCommerce auf unserer Seite – Updates erhalten Sie automatisch,
• fertige SMS-Benachrichtigungen zum Bestellstatus, ohne eigenen Code zu schreiben.

Wenn Sie heute SMS mit einer eigenen Lösung versenden, verlieren Sie nichts. Aber sobald das WooCommerce-Plugin von SENDLY verfügbar ist, bedeutet der Umstieg darauf ein Problem weniger, das Sie bei jedem solchen Update im Auge behalten müssen. Wir geben im Blog und im Panel Bescheid, wenn es startet.

• Die kritische Lücke wp2shell (CVE-2026-63030) erlaubt es, WordPress ohne Anmeldung zu übernehmen – aktualisieren Sie sofort auf 7.0.2 / 6.9.5 / 6.8.6.
• Wenn Sie SMS aus WordPress über eine API versenden, stehen Ihr Token und die Nummern Ihrer Kunden auf dem Spiel – erwägen Sie nach dem Update eine Rotation des Tokens.
• Aktivieren Sie Limits und Caps in SENDLY als Sicherheitsnetz.
• Schon bald: das offizielle WooCommerce-Plugin von SENDLY, das die Wartung der Integration übernimmt.