Security · 18.9.2026
Eine neu entdeckte Schwachstelle im WordPress-Kern ermöglicht es Angreifern, über manipulierte Links Themes zu installieren und Schadcode auszuführen.
Eine kritische Sicherheitslücke im WordPress-Kern, bekannt als "Click2Shell", bedroht zahlreiche Websites weltweit. Durch das Ausnutzen dieser Schwachstelle können Angreifer einen angemeldeten Administrator dazu verleiten, einen präparierten Link anzuklicken. Dies führt dazu, dass im Hintergrund ohne weitere Interaktion ein Theme aus dem offiziellen WordPress-Verzeichnis installiert wird, was wiederum als Einfallstor für die Ausführung von Schadcode (Remote Code Execution) genutzt werden kann.
WordPress ist das weltweit am häufigsten genutzte Content-Management-System (CMS) und bildet auch in der DACH-Region das Fundament für unzählige Unternehmens-Websites, Blogs und Kundenportale. Da die Schwachstelle direkt im Kern des Systems liegt, sind potenziell alle Installationen betroffen, die nicht auf dem neuesten Stand sind. Ein erfolgreicher Angriff gefährdet nicht nur die Integrität der Website, sondern kann auch zum Diebstahl sensibler Kundendaten, zur Platzierung von Ransomware oder zur vollständigen Übernahme des Webservers führen. Das Risiko ist besonders hoch, da Administratoren oft mit erweiterten Rechten im Browser angemeldet sind, während sie andere Webseiten aufrufen.
Verantwortliche IT-Administratoren und Webmaster müssen umgehend handeln, um ihre Systeme abzusichern. Folgende Schritte werden dringend empfohlen:
Die "Click2Shell"-Schwachstelle verdeutlicht einmal mehr, dass auch weit verbreitete und vermeintlich sichere Systeme kontinuierlicher Pflege bedürfen. Schnelles Patch-Management ist der einzig wirksame Schutz gegen derartige Bedrohungen.
Quelle: The Hacker News