Compromise Scanner for wp2shell: WordPress auf Spuren eines WP2Shell-Angriffs überprüfen

Nach Bekanntwerden der kritischen WP2Shell-Sicherheitsproblematik stehen viele WordPress-Betreiber vor einer schwierigen Frage:

War meine WordPress-Installation möglicherweise bereits kompromittiert, bevor ich das Sicherheitsupdate installiert habe?

Genau an diesem Punkt setzt das WordPress-Plugin Compromise Scanner for wp2shell an.

Das kostenlose Plugin wurde speziell dafür entwickelt, nach typischen Spuren und Datenbank-Artefakten zu suchen, die im Zusammenhang mit der als WP2Shell bezeichneten Angriffskette entstehen können.

Wichtig ist dabei gleich zu Beginn eine klare Abgrenzung:

Der Compromise Scanner ist kein klassischer Virenscanner und keine automatische Malware-Bereinigung.

Er versucht vielmehr, Hinweise darauf zu finden, ob eine WordPress-Installation möglicherweise über WP2Shell angegriffen wurde. Gerade bei Websites, die während des kritischen Zeitraums eine betroffene WordPress-Version eingesetzt haben, kann das Plugin deshalb eine wertvolle zusätzliche Kontrollmöglichkeit darstellen.

Was ist der Compromise Scanner for wp2shell?

Der Compromise Scanner for wp2shell ist ein kostenloses Open-Source-Plugin für WordPress und wird von eyesecurity bereitgestellt.

Das Plugin wurde speziell für die öffentlich als WP2Shell bekannte Angriffskette entwickelt, die mit den WordPress-Core-Schwachstellen

• CVE-2026-63030
• CVE-2026-60137

in Verbindung steht.

Anders als viele allgemeine Security-Plugins versucht der Compromise Scanner nicht, sämtliche denkbaren WordPress-Malware-Varianten zu erkennen.

Er konzentriert sich gezielt auf bestimmte Spuren, die durch einen WP2Shell-Angriff beziehungsweise durch öffentlich bekannte Exploit-Techniken entstehen können.

Das macht das Plugin zu einem spezialisierten forensischen Prüfwerkzeug.

Die offizielle Plugin-Seite findet sich im WordPress-Plugin-Verzeichnis:

Compromise Scanner for wp2shell bei WordPress.org

Das Wichtigste zuerst: Der Scanner verändert die Website nicht

Ein großer Vorteil des Plugins ist seine grundsätzlich read-only ausgelegte Arbeitsweise.

Das bedeutet:

Der Scanner liest Informationen aus der WordPress-Datenbank und kontrolliert bestimmte Dateien beziehungsweise Verzeichnisse. Er verändert dabei jedoch nicht eigenständig Beiträge, Benutzer oder Einstellungen der Website.

Das ist gerade bei einer möglichen Kompromittierung wichtig.

Denn bei einer forensischen Untersuchung sollte möglichst vermieden werden, verdächtige Spuren vorschnell zu verändern oder zu löschen.

Der Scanner soll zunächst beantworten:

Gibt es auf dieser WordPress-Installation Auffälligkeiten, die zu einem WP2Shell-Angriff passen könnten?

Er soll nicht automatisch entscheiden:

„Diese Datei ist Malware, deshalb lösche ich sie.“

Genau diese zurückhaltende Vorgehensweise macht das Plugin für eine erste Untersuchung interessant.

Was überprüft der Compromise Scanner?

Der Scanner untersucht mehrere Bereiche der WordPress-Installation und bewertet einzelne Auffälligkeiten unterschiedlich stark.

Dabei geht es nicht ausschließlich um klassische Malware-Dateien.

Gerade Datenbankspuren können bei WP2Shell besonders interessant sein.

1. Auffälligkeiten im oEmbed-Cache

WordPress verwendet sogenannte oEmbed-Funktionen, um beispielsweise externe Inhalte automatisch einzubetten.

Der Compromise Scanner untersucht bestimmte oembed_cache-Einträge auf Muster, die im Zusammenhang mit der WP2Shell-Angriffsmethode auffällig sein können.

Dazu gehören beispielsweise Einträge, die auf die eigene Website zurückverweisen oder zeitlich beziehungsweise strukturell zu bekannten Angriffsmustern passen.

Ein einzelner auffälliger oEmbed-Eintrag bedeutet allerdings noch nicht automatisch, dass die Website gehackt wurde.

Es handelt sich zunächst um einen Indikator.

2. Ungewöhnliche WordPress-Beiträge und Objektbeziehungen

Der Scanner untersucht außerdem bestimmte WordPress-Objekte und Beiträge.

Gesucht werden unter anderem:

• ungewöhnlich hohe Parent-IDs,
• bekannte Titel oder Slugs aus öffentlichen Proof-of-Concept-Angriffen,
• auffällige customize_changeset-Einträge.

Solche Datensätze können auf ungewöhnliche Veränderungen innerhalb der WordPress-Datenbank hinweisen.

3. Verdächtige Benutzerkonten

Besonders interessant ist die Überprüfung der WordPress-Benutzer.

Öffentlich bekannte WP2Shell-Exploit-Beispiele verwendeten bestimmte Muster bei automatisch angelegten Administratoren.

Der Scanner sucht deshalb unter anderem nach:

• Benutzernamen mit dem Präfix wp2_,
• E-Mail-Adressen mit @wp2shell.invalid,
• neu angelegten Administratoren, die nicht zu den ursprünglichen Website-Benutzern gehören.

Gerade dieser Bereich ist relevant, weil wir bei der Bereinigung kompromittierter WordPress-Websites immer wieder festgestellt haben, dass unbekannte Administratoren eines der wichtigsten Warnsignale darstellen können.

4. Spuren bereits gelöschter Administratoren

Besonders interessant ist eine weitere Funktion:

Der Scanner sucht auch nach möglichen Spuren eines Benutzers, der bereits wieder gelöscht wurde.

Dazu können beispielsweise gehören:

• verwaiste Einträge in usermeta,
• auffällige Lücken bei Benutzer-IDs,
• Hinweise auf einen Benutzer, der angelegt und anschließend wieder entfernt wurde.

Das ist wichtig, weil ein professioneller Angreifer seine Spuren möglicherweise nach erfolgreicher Kompromittierung teilweise wieder beseitigt.

Ein unbekannter Administrator muss deshalb nicht zwingend noch im WordPress-Backend sichtbar sein.

5. Dateien mit typischen WP2Shell-Mustern

Der Scanner kontrolliert außerdem das Plugin-Verzeichnis auf Dateien oder Ordner, deren Namen bekannten WP2Shell-Mustern entsprechen.

Dazu gehören beispielsweise Strukturen nach dem Muster:

wp2shell_*

Auch hier gilt:

Ein Treffer ist ein Untersuchungsgrund – aber noch kein endgültiger Beweis einer Kompromittierung.

Warum untersucht das Plugin vor allem Datenbankspuren?

Ein interessanter Aspekt von WP2Shell ist, dass Teile des Angriffs innerhalb eines REST-API-Batch-Requests durchgeführt werden können.

Dadurch können relevante Informationen im Request-Body liegen, die in klassischen Webserver-Logs nicht unbedingt vollständig aufgezeichnet werden.

Ein normaler Access-Log-Eintrag kann deshalb möglicherweise zeigen, dass eine Anfrage stattgefunden hat, aber nicht unbedingt sämtliche Inhalte enthalten, die für eine spätere Rekonstruktion notwendig wären.

Genau deshalb können die durch den Angriff hinterlassenen Datenbank-Artefakte besonders wertvoll sein.

Der Compromise Scanner versucht diese Spuren gezielt sichtbar zu machen.

So installiert man den Compromise Scanner for wp2shell

Die Installation funktioniert grundsätzlich wie bei einem normalen WordPress-Plugin.

Schritt 1: WordPress-Backend öffnen

Melden Sie sich als Administrator Ihrer WordPress-Website an.

Öffnen Sie anschließend:

Plugins → Plugin hinzufügen

Schritt 2: Nach dem Plugin suchen

Suchen Sie nach:

Compromise Scanner for wp2shell

Achten Sie darauf, dass es sich tatsächlich um das Plugin des Entwicklers eyesecurity handelt.

Alternativ kann das Plugin direkt über das offizielle WordPress-Verzeichnis bezogen werden:

Compromise Scanner for wp2shell herunterladen

Schritt 3: Plugin installieren und aktivieren

Installieren Sie das Plugin und aktivieren Sie es anschließend.

Nach der Aktivierung erscheint im WordPress-Backend ein eigener Bereich für den Compromise Scanner.

So führt man einen WP2Shell-Scan durch

Nach der Installation ist die eigentliche Prüfung vergleichsweise einfach.

1. Compromise Scanner öffnen

Öffnen Sie den neuen Menüpunkt:

Compromise Scanner for wp2shell

2. WordPress-Version kontrollieren

Der Scanner zeigt auch Informationen zum Versionsstatus der WordPress-Installation an.

Dieser Punkt ist ausgesprochen wichtig:

Ein Scan ersetzt das Sicherheitsupdate nicht.

Betroffene WordPress-Versionen müssen unabhängig vom Scan-Ergebnis auf eine korrigierte Version aktualisiert werden.

Für die betroffenen Versionszweige wurden unter anderem folgende korrigierte Versionen veröffentlicht:

• WordPress 6.8.6 oder neuer
• WordPress 6.9.5 oder neuer
• WordPress 7.0.2 oder neuer

3. „Run scan“ starten

Klicken Sie auf:

Run scan

Das Plugin untersucht anschließend die relevanten Datenbankinformationen und Dateien.

Da es sich um einen lesenden Scan handelt, werden verdächtige Elemente nicht automatisch gelöscht.

4. Ergebnisse kontrollieren

Nach Abschluss des Scans zeigt das Plugin die gefundenen Indikatoren einzeln an.

Dabei werden die einzelnen Prüfungen nach ihrer Bedeutung beziehungsweise Schwere gewichtet.

Was bedeutet der Forensic Score?

Der Compromise Scanner verwendet ein Punktesystem, um die gefundenen Auffälligkeiten zusammenzufassen.

Die Bewertung wird in drei grundlegende Bereiche eingeteilt.

Unter 25 Punkte: No indicators

Es wurden keine beziehungsweise keine ausreichend starken bekannten WP2Shell-Indikatoren gefunden.

Das ist grundsätzlich ein gutes Zeichen.

Es bedeutet jedoch nicht automatisch:

„Diese Website ist garantiert nicht gehackt.“

Darauf kommen wir später noch zurück.

25 bis 49 Punkte: Some indicators

Der Scanner hat einzelne Auffälligkeiten festgestellt.

Diese sollten genauer untersucht werden.

Ein solcher Wert bedeutet nicht automatisch eine erfolgreiche Kompromittierung.

Es gibt legitime Situationen, die einzelne Prüfungen auslösen können.

Ab 50 Punkten: Multiple indicators

Mehrere beziehungsweise stärker gewichtete Indikatoren wurden erkannt.

In diesem Fall sollte die WordPress-Installation aus unserer Sicht unbedingt genauer untersucht werden.

Insbesondere bei unbekannten Administratoren, auffälligen Plugin-Dateien oder mehreren zueinander passenden Datenbankspuren sollte man den Fund ernst nehmen.

Was bedeutet „Matched“?

Bei einzelnen Prüfungen kann der Scanner den Status Matched anzeigen.

Das bedeutet:

Die untersuchte Information entspricht einem Muster, nach dem das Plugin sucht.

Es bedeutet jedoch nicht automatisch:

„WP2Shell wurde auf dieser Website definitiv ausgeführt.“

Beispielsweise können auch legitime neue Administratoren oder bestimmte normale oEmbed-Einträge einzelne Prüfregeln auslösen.

Deshalb sollten die Detailinformationen jedes Treffers kontrolliert werden.

Sehr nützlich: Den WP2Shell-Bericht exportieren

Seit Version 1.1.0 bietet der Compromise Scanner eine besonders interessante Funktion:

Export report (.zip)

Damit können die Ergebnisse der Untersuchung als ZIP-Datei heruntergeladen werden.

Der Bericht ist nicht nur als einfache Zusammenfassung gedacht, sondern enthält auch verschiedene Rohdaten, die bei einer genaueren Untersuchung hilfreich sein können.

Dazu gehören unter anderem:

• der Bericht als JSON-Datei,
• eine Textversion des Berichts,
• relevante oembed_cache-Datensätze,
• verdächtige customize_changeset-Einträge,
• verdächtige Beiträge,
• auffällige Benutzerkonten,
• Spuren verwaister User-Metadaten,
• Informationen zu auffälligen Benutzer-IDs,
• Informationen zu veränderten Plugin-Dateien,
• eine Anleitung zur zusätzlichen Log-Sammlung.

Passwort-Hashes oder Session-Tokens sollen laut Entwickler dabei nicht in den Export aufgenommen werden.

Der Report eignet sich damit beispielsweise dazu, die gefundenen Daten an einen Webmaster oder Sicherheitsexperten weiterzugeben.

Was tun, wenn der Scanner WP2Shell-Indikatoren findet?

Ein positives beziehungsweise auffälliges Scan-Ergebnis sollte nicht zu hektischen Löschaktionen führen.

Stattdessen empfehlen wir eine strukturierte Vorgehensweise.

1. Bericht exportieren

Bevor Veränderungen vorgenommen werden, sollte der Scan-Report gesichert werden.

Nutzen Sie dafür die Exportfunktion des Plugins.

2. Backup erstellen

Erstellen Sie einen vollständigen Sicherungsstand der Website.

Dieser kann zwar bereits Schadcode enthalten, ist für eine spätere Untersuchung aber trotzdem wertvoll.

3. Gefundene Benutzer prüfen

Kontrollieren Sie alle Administratoren.

Besonders interessant sind:

• unbekannte Administratoren,
• kürzlich angelegte Administratoren,
• Benutzernamen mit ungewöhnlichen Namen,
• nicht nachvollziehbare E-Mail-Adressen.

Unbekannte Benutzer sollten dokumentiert werden, bevor sie gelöscht werden.

4. WordPress-Core prüfen

Die WordPress-Core-Dateien sollten mit sauberen Originaldateien verglichen werden.

Verdächtig sind insbesondere unbekannte oder veränderte PHP-Dateien.

5. Plugins und MU-Plugins untersuchen

Kontrollieren Sie:

/wp-content/plugins/

und insbesondere:

/wp-content/mu-plugins/

auf unbekannte Dateien oder Erweiterungen.

Gerade MU-Plugins werden gerne übersehen, weil sie nicht wie normale Plugins behandelt werden.

6. Upload-Verzeichnis kontrollieren

Auch das Verzeichnis

/wp-content/uploads/

sollte auf ungewöhnliche PHP-Dateien untersucht werden.

7. Datenbank prüfen

Verdächtige Benutzer und Datenbankeinträge sollten genauer analysiert werden.

Ein Scanner-Ergebnis kann dabei ein wichtiger Ausgangspunkt sein, ersetzt aber keine vollständige Datenbankprüfung.

8. Zugangsdaten ändern

Bei einer bestätigten oder sehr wahrscheinlichen Kompromittierung sollten unter anderem geändert werden:

• WordPress-Passwörter,
• Hosting-Passwörter,
• FTP-/SFTP-Zugangsdaten,
• SSH-Zugänge,
• Datenbank-Passwort,
• weitere administrative Zugangsdaten.

9. WordPress-Salts erneuern

Die Authentication Keys und Salts von WordPress sollten erneuert werden, damit bestehende Sessions ihre Gültigkeit verlieren.

10. Weitere Malware-Scans durchführen

Der Compromise Scanner ist bewusst auf WP2Shell spezialisiert.

Deshalb sollte bei einer bestätigten Kompromittierung zusätzlich ein allgemeiner Malware- und Datei-Scan durchgeführt werden.

Hier können beispielsweise Wordfence oder entsprechende serverseitige Sicherheitslösungen sinnvoll sein.

---

Was bedeutet ein komplett sauberer Scan?

Das ist vermutlich die wichtigste Frage überhaupt.

Zeigt der Scanner:

No indicators

ist das zunächst beruhigend.

Es bedeutet:

Der Scanner hat keine ihm bekannten WP2Shell-Artefakte gefunden, die einen entsprechend hohen Score ergeben.

Es bedeutet aber ausdrücklich nicht:

Die Website ist mit hundertprozentiger Sicherheit niemals kompromittiert worden.

Ein Angreifer könnte beispielsweise:

• Spuren entfernt haben,
• andere Benutzernamen verwendet haben,
• andere Webshells installiert haben,
• andere Dateien manipuliert haben,
• über eine völlig andere Sicherheitslücke eingedrungen sein.

Der Entwickler weist selbst darauf hin, dass ein unauffälliges Ergebnis zwar beruhigend, aber keine Garantie ist.

Compromise Scanner oder Wordfence – welches Plugin ist besser?

Diese Frage wird vermutlich häufig gestellt werden, ist aber eigentlich falsch formuliert.

Die beiden Werkzeuge verfolgen unterschiedliche Ziele.

Compromise Scanner for wp2shell

Der Scanner sucht sehr gezielt nach bestimmten Spuren des WP2Shell-Angriffs.

Seine Stärke liegt vor allem in:

• WP2Shell-spezifischen Datenbankprüfungen,
• Benutzer-Artefakten,
• Spuren bereits gelöschter Accounts,
• spezifischen Exploit-Indikatoren,
• dem forensischen Export.

Wordfence und andere allgemeine Security-Scanner

Solche Lösungen untersuchen WordPress wesentlich breiter und können beispielsweise nach:

• bekannter Malware,
• veränderten Core-Dateien,
• verdächtigen PHP-Dateien,
• bekannten Plugin-Sicherheitslücken,
• Backdoors

suchen.

Deshalb lautet unsere Empfehlung nicht:

Compromise Scanner statt Wordfence.

Sondern vielmehr:

Bei Verdacht auf WP2Shell kann der spezialisierte Compromise Scanner eine sinnvolle Ergänzung zu einem allgemeinen Malware-Scanner und einer manuellen Prüfung sein.

Der Scanner repariert die WP2Shell-Sicherheitslücke nicht

Dieser Punkt ist so wichtig, dass man ihn nicht oft genug erwähnen kann.

Der Compromise Scanner:

• schließt keine WordPress-Sicherheitslücke,
• installiert kein WordPress-Sicherheitsupdate,
• löscht keine Backdoor,
• entfernt keine Malware,
• bereinigt keine manipulierten Benutzer,
• ersetzt keine professionelle Untersuchung.

Er ist ein Diagnosewerkzeug.

Die Sicherheitslücke selbst muss durch das entsprechende WordPress-Core-Update geschlossen werden.

Eine bereits erfolgte Kompromittierung muss anschließend separat bereinigt werden.

---

Sollte man das Plugin nach dem Scan wieder entfernen?

Der Entwickler hat den Scanner ausdrücklich als fokussiertes Werkzeug für eine konkrete Untersuchung konzipiert.

Nach Abschluss des Scans befindet sich innerhalb der Scanner-Oberfläche deshalb auch eine Möglichkeit, das Plugin wieder zu entfernen.

Die offizielle Anleitung empfiehlt nach Abschluss der Prüfung:

Remove this plugin

Damit wird der Scanner deaktiviert und gelöscht.

Das ist aus unserer Sicht durchaus sinnvoll.

Ein Werkzeug, das nur für eine einmalige forensische Untersuchung benötigt wird, muss nicht dauerhaft auf einer WordPress-Installation aktiv bleiben.

Grundsätzlich gilt bei WordPress:

Je weniger nicht benötigte Plugins installiert sind, desto übersichtlicher und wartbarer bleibt das System.

Unsere Empfehlung zum Compromise Scanner for wp2shell

Nach unserer Einschätzung ist der Compromise Scanner for wp2shell vor allem für Betreiber interessant, die sich folgende Frage stellen:

Meine WordPress-Version war möglicherweise von WP2Shell betroffen – wie kann ich prüfen, ob sich typische Spuren eines Angriffs finden lassen?

Genau dafür liefert das Plugin einen sehr brauchbaren zusätzlichen Prüfmechanismus.

Besonders positiv sind:

• die Spezialisierung auf WP2Shell,
• die lesende Arbeitsweise,
• die Kontrolle von Datenbank-Artefakten,
• die Untersuchung verdächtiger Administratoren,
• die Suche nach Spuren bereits gelöschter Benutzer,
• die gewichtete Bewertung der Ergebnisse,
• der exportierbare forensische Bericht.

Man sollte allerdings nicht den Fehler machen, das Ergebnis überzubewerten.

Ein Treffer ist nicht automatisch der Beweis eines Hacks – und ein sauberer Scan ist keine hundertprozentige Sicherheitsgarantie.

Checkliste: Compromise Scanner for wp2shell richtig einsetzen

• Kontrollieren, welche WordPress-Version installiert ist
• WordPress auf eine sichere Version aktualisieren
• Compromise Scanner aus dem offiziellen WordPress-Verzeichnis installieren
• Entwickler „eyesecurity“ kontrollieren
• Scan mit „Run scan“ durchführen
• Forensic Score kontrollieren
• Alle „Matched“-Ergebnisse einzeln überprüfen
• Bei Auffälligkeiten den Bericht exportieren
• Verdächtige Benutzer dokumentieren
• WordPress-Core kontrollieren
• Plugins und MU-Plugins überprüfen
• Upload-Verzeichnis untersuchen
• Datenbank kontrollieren
• Zusätzlich allgemeinen Malware-Scan durchführen
• Bei bestätigter Kompromittierung sämtliche Zugangsdaten ändern
• Nach Abschluss der Untersuchung Scanner wieder entfernen

Weiterführende Informationen zum Compromise Scanner und WP2Shell

Für weiterführende technische Informationen empfehlen wir insbesondere die offiziellen Quellen.

Compromise Scanner for wp2shell bei WordPress.org

Offizielle Plugin-Seite mit Beschreibung, Installation, FAQ, Changelog und Download.

Compromise Scanner for wp2shell bei WordPress.org öffnen

Englische WordPress.org Plugin-Seite

Die englische Originalbeschreibung enthält ausführliche Informationen zu den einzelnen Prüfungen und dem Export des forensischen Berichts.

Englische Plugin-Beschreibung öffnen

WordPress 7.0.2 Sicherheitsrelease

Informationen zum WordPress-Sicherheitsupdate, mit dem die zugrunde liegenden Sicherheitsprobleme geschlossen wurden.

WordPress 7.0.2 Sicherheitsrelease öffnen

WP2Shell – technische Informationen

Weiterführende Informationen zur WP2Shell-Angriffskette und den zugrunde liegenden WordPress-Schwachstellen.

Technische Informationen zu WP2Shell öffnen

Fazit: Ein hilfreiches Diagnosewerkzeug – aber keine automatische WP2Shell-Bereinigung

Der Compromise Scanner for wp2shell ist ein interessantes und sinnvoll spezialisiertes Werkzeug für WordPress-Betreiber, deren Website möglicherweise während des WP2Shell-Zeitraums gefährdet war.

Seine große Stärke besteht darin, nicht einfach nur nach bekannten Malware-Dateien zu suchen.

Stattdessen untersucht er gezielt:

• Datenbank-Artefakte,
• ungewöhnliche WordPress-Objekte,
• verdächtige Administratoren,
• Spuren bereits gelöschter Benutzer,
• WP2Shell-spezifische Dateien und Verzeichnisse.

Damit kann das Plugin Hinweise sichtbar machen, die bei einem gewöhnlichen Malware-Scan möglicherweise nicht sofort auffallen.

Besonders wertvoll ist außerdem die Möglichkeit, einen Bericht mit relevanten Rohdaten für eine spätere Untersuchung zu exportieren.

Trotzdem sollte man den Scanner als das betrachten, was er ist:

Ein forensisches Hilfsmittel zur Erkennung möglicher WP2Shell-Spuren – nicht als Beweis, nicht als Virenschutz und nicht als Reparaturwerkzeug.

Bei einem auffälligen Ergebnis sollte deshalb nicht einfach auf Verdacht gelöscht werden.

Stattdessen muss geklärt werden:

• Welche Indikatoren wurden gefunden?
• Sind diese plausibel oder erklärbar?
• Existieren unbekannte Administratoren?
• Wurden Dateien verändert?
• Gibt es weitere Backdoors?
• Wurde die Datenbank manipuliert?
• Kann ein Angreifer weiterhin auf das System zugreifen?

Genau hier liegt der Unterschied zwischen einem einfachen Malware-Scan und einer wirklichen Bereinigung einer kompromittierten WordPress-Installation.