IT-Wochenrückblick KW 30/2026: Kritische WordPress-Lücke „wp2shell“, Check-Point-Zero-Day & erneut SharePoint im Visier

Liebe Leserinnen und Leser,

diese Woche stand im Zeichen aktiv ausgenutzter Schwachstellen mit sehr großer Reichweite: Eine kritische Lücke im WordPress-Kern betrifft potenziell Millionen Websites, ein Zero-Day in Check-Point-Systemen wird bereits angegriffen, und bei Microsoft SharePoint sorgt öffentlich gewordener Angriffscode für eine neue Angriffswelle. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.

Top 1: wp2shell – kritische WordPress-Kernlücke wird aktiv ausgenutzt

Am 17. Juli 2026 hat das WordPress-Sicherheitsteam ein außerplanmäßiges Notfall-Update veröffentlicht. Es schließt zwei Schwachstellen, die in Kombination unter dem Namen „wp2shell“ bekannt geworden sind: eine Route-Confusion-Lücke in der REST-API (CVE-2026-63030) und eine SQL-Injection (CVE-2026-60137). Verkettet erlauben sie Angreifern, WordPress-Seiten ohne jegliche Anmeldung vollständig zu übernehmen und Schadcode auf dem Server auszuführen.

Die Reichweite ist enorm: Betroffen sind die WordPress-Versionen 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1 – nach Schätzungen potenziell zweistellige Millionenzahlen an Websites. Das BSI stuft die Lage mit der Warnstufe „Orange“ (Stufe 3 von 4) ein. Sicherheitsfirmen wie Wordfence, Patchstack und watchTowr beobachten bereits aktive Angriffe; erste Ausnutzungsversuche folgten binnen Minuten nach Bekanntwerden, und mehrere fertige Exploits kursieren öffentlich.

WordPress betreibt einen Großteil aller Firmen-Websites – vom Handwerksbetrieb bis zum Onlineshop. Genau das macht die Lücke so gefährlich: Eine übernommene Website kann für Datendiebstahl, die Verteilung von Schadsoftware oder als Sprungbrett ins Firmennetz missbraucht werden.

Was bedeutet das für Sie?

• Aktualisieren Sie WordPress umgehend auf die bereinigte Version 7.0.2 (bzw. die passende Sicherheitsversion Ihres Versionszweigs) – warten Sie nicht auf das automatische Update.
• Lassen Sie Ihre Website auf Auffälligkeiten prüfen: unbekannte Benutzerkonten, veränderte Dateien oder neu angelegte Plugins können Hinweise auf eine Kompromittierung sein.
• Sichern Sie regelmäßig Datenbank und Dateien Ihrer Website, damit Sie im Ernstfall sauber wiederherstellen können.

Top 2: Check Point – Zero-Day in der Verwaltungssoftware wird angegriffen

In der Verwaltungssoftware SmartConsole des Sicherheitsanbieters Check Point klafft eine kritische Zero-Day-Lücke (CVE-2026-16232, Bedrohungswert 9,3 von 10). Über einen Fehler bei der Anmeldung können Angreifer die Authentifizierung umgehen und sich unbefugt Administratorrechte auf den Management-Servern verschaffen – ganz ohne gültige Zugangsdaten.

Check Point bestätigt, dass die Lücke bereits aktiv ausgenutzt wird – betroffen sind vor allem Systeme, deren Verwaltung ungeschützt aus dem Internet erreichbar ist. Die US-Behörde CISA nahm die Schwachstelle am 22. Juli 2026 in ihre Liste aktiv ausgenutzter Lücken auf und setzte Behörden eine Frist zum Nachbessern bis zum 25. Juli. Passende Updates sowie Erkennungshinweise stehen bereit.

Der Fall zeigt erneut ein Muster des Jahres 2026: Ausgerechnet Sicherheits-Appliances – Firewalls, VPN-Gateways und Management-Systeme – geraten besonders ins Visier, weil sie tief im Netzwerk verankert sind und weitreichende Rechte besitzen.

Was bedeutet das für Sie?

• Fragen Sie Ihren IT-Dienstleister, ob Check-Point-Systeme im Einsatz sind, und lassen Sie die bereitgestellten Updates umgehend einspielen.
• Sorgen Sie dafür, dass Verwaltungsoberflächen von Sicherheits-Appliances niemals frei aus dem Internet erreichbar sind, sondern nur über gesicherte Zugänge.
• Lassen Sie die Systeme anhand der veröffentlichten Kompromittierungshinweise auf verdächtige Aktivitäten prüfen.

Top 3: Microsoft SharePoint – öffentlicher Exploit löst neue Angriffswelle aus

Nur wenige Tage nach dem Juli-Patchday steht Microsoft SharePoint erneut im Fokus: Für die kritische Lücke CVE-2026-50522 (Bedrohungswert 9,8 von 10) tauchte am 20. Juli 2026 öffentlicher Angriffscode auf – und binnen weniger Stunden begannen die ersten realen Angriffe. Betroffen sind selbst betriebene („on-premises“) SharePoint-Server.

Besonders tückisch: Angreifer stehlen dabei die sogenannten Maschinenschlüssel des Servers. Damit können sie sich selbst gültige Zugangs-Token ausstellen und im System bleiben – selbst dann, wenn der Server anschließend gepatcht wird. Das Einspielen des Updates allein genügt in diesem Fall nicht.

Microsoft hatte die Lücke bereits am 14. Juli mit dem Patchday geschlossen. Wer SharePoint selbst betreibt, sollte daher nicht nur zeitnah patchen, sondern nach einer möglichen Kompromittierung auch die Maschinenschlüssel austauschen.

Was bedeutet das für Sie?

• Spielen Sie die Juli-Updates für selbst betriebene SharePoint-Server sofort ein, falls noch nicht geschehen.
• Tauschen Sie nach dem Patchen die Maschinenschlüssel (Machine Keys) aus und beenden Sie bestehende Sitzungen – nur so entziehen Sie Angreifern gestohlene Zugänge.
• Lassen Sie Server, die zwischenzeitlich erreichbar waren, gezielt auf Spuren eines Einbruchs untersuchen.

⚡ Quick News der Woche

• Ransomware setzt auf gestohlene Passwörter: Laut dem neuen „State of Ransomware 2026“-Report von Sophos beginnen 79 % aller Ransomware-Angriffe mit gestohlenen Zugangsdaten – Mehr-Faktor-Anmeldung und ein Passwort-Manager sind wirksamer Schutz.
• Neue Phishing-Baukästen entdeckt: Sicherheitsforscher warnen vor den Kits „Jalisco“ und „OmegaLord“. Jalisco setzt auf sogenanntes Device-Code-Phishing mit Echtzeit-Codes und kann so in manchen Fällen sogar die Mehr-Faktor-Anmeldung aushebeln.
• Millionen-Datenleck bei Paidwork: Bei der Verdienstplattform Paidwork wurden Daten von rund 23 Millionen Nutzern gestohlen, darunter Konto- und Bankinformationen. Betroffene sollten Passwörter ändern und Kontobewegungen im Blick behalten.
• Angriff auf NextCloud: Die Website des Cloud-Anbieters NextCloud wurde Ziel eines Cyberangriffs. Der Vorfall zeigt: Auch Anbieter von Cloud- und Sicherheitslösungen sind nicht unangreifbar.
• KI verschärft Phishing: Studien zufolge ist inzwischen ein Großteil der Phishing-Mails KI-generiert – fehlerfrei formuliert und dadurch schwerer zu erkennen. Regelmäßige Schulungen und gesunde Skepsis bleiben zentral.

💡 Fazit & Empfehlung

Diese Woche macht deutlich: Sobald eine Lücke öffentlich wird, zählt jede Stunde – von der Website über die Firewall bis zum Firmenserver. Achten Sie auf drei Stellschrauben:

✓ Sofort patchen: Ob WordPress, Check Point oder SharePoint – aktiv ausgenutzte Lücken müssen ohne Verzögerung geschlossen werden.

✓ Nach dem Patch weiterdenken: Gestohlene Schlüssel und Zugangsdaten bleiben gefährlich – tauschen Sie Schlüssel aus und prüfen Sie Systeme auf Spuren eines Einbruchs.

✓ Zugänge absichern: Verwaltungsoberflächen gehören nicht offen ins Internet, und die Mehr-Faktor-Anmeldung schützt vor gestohlenen Passwörtern.

Sprechen Sie uns an – wir prüfen gemeinsam, welche Ihrer Systeme betroffen sein könnten, und bringen Ihre IT auf einen sicheren Stand. Ihr Team von IT Navigator.

📚 Quellen

• BSI / Greenbone: wp2shell – kritische WordPress-Kernlücke (CVE-2026-63030, CVE-2026-60137)
• BornCity / IT-Administrator: WordPress-Angriff wp2shell – BSI-Warnstufe Orange
• Bleeping Computer: Check Point warns of SmartConsole zero-day exploited in attacks (CVE-2026-16232)
• Bleeping Computer / Help Net Security: Critical SharePoint RCE flaw exploited to steal machine keys (CVE-2026-50522)
• heise online / Sophos: State of Ransomware 2026 – 79 % über gestohlene Zugangsdaten

👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 29/2026.