WordPress Attack Report: 1,69 Millionen Angriffe von Mai bis Juli 2026
Vom 1. Mai bis zum 21. Juli 2026 hat das ReportedIP-Netzwerk 1.692.650 Angriffe von 206.388 eindeutigen IP-Adressen erfasst. Dieser erste vierteljährliche WordPress Attack Report zeigt, welche Techniken WordPress-Sites am häufigsten treffen und wie sich der wp2shell-Exploit in den Daten niederschlug.
Der stärkste Tag war der 17. Juni 2026 mit 29.217 Angriffen. Alle Zahlen stammen aus den eigenen Meldedaten des Netzwerks und dürfen unter CC BY 4.0 frei zitiert werden.
Wie viele Angriffe hat ReportedIP von Mai bis Juli 2026 erfasst?
Das Netzwerk zählte in den 82 Tagen vom 1. Mai bis zum 21. Juli 2026 genau 1.692.650 Angriffe. Sieben Honeypot-Server, also Köder-Rechner, die WordPress-, Drupal- und Joomla-Sites nachahmen, protokollierten davon 1.505.488. Über die API-Keys der Mitglieder kamen weitere 186.292, von WordPress-Sites mit dem Hive-Sicherheits-Plugin und von Server-Integrationen. Die übrigen 870 wurden von Hand importiert.
- 1.692.650 Angriffe insgesamt
- 206.388 eindeutige angreifende IP-Adressen
- 29.217 Angriffe am stärksten Tag, dem 17. Juni 2026
- 20.642 Angriffe pro Tag im Durchschnitt
Ein Angriff ist in diesem Report eine Meldung plus die Wiederholungen, die in ihr zusammengefasst sind. Trifft dieselbe Adresse dasselbe Ziel kurz hintereinander erneut, behält das Netzwerk eine Meldung und zählt die Wiederholungen daran mit.
Ist das Angriffsvolumen von Mai bis Juli 2026 gestiegen oder gesunken?
Das Angriffsvolumen blieb hoch und gleichmäßig. In den elf vollen Wochen von Montag bis Sonntag zwischen dem 4. Mai und dem 19. Juli fiel es nie unter 133.000 Angriffe pro Woche und erreichte in der Woche vom 15. bis 21. Juni mit 179.476 seinen Höchstwert. In diese Woche fielen auch die beiden stärksten Tage: der 16. Juni mit 28.117 Angriffen und der 17. Juni mit 29.217.
Ein Wochenende in diesem Zeitraum hat eine eigene Auswertung. Am 23. und 24. Mai 2026 zählte das Netzwerk 41.220 Angriffe in 37.288 Angriffsmeldungen von 15.066 Adressen. Der Wochenend-Angriffsbericht schlüsselt diese beiden Tage nach Kategorie und Land auf.
Welche Angriffe treffen WordPress-Sites am häufigsten?
Der größte Teil des Verkehrs war allgemein. 1.183.168 Angriffe trugen die Kategorie Hacking und 246.620 die allgemeine Kategorie Brute-Force, beide treffen jeden erreichbaren Dienst. Unter den WordPress-Kategorien lag Login-Brute-Force gegen wp-login.php mit großem Abstand vorn. Eine Meldung kann mehrere Kategorien tragen, die Zeilen überschneiden sich also.
| WordPress-Angriffskategorie | Angriffe |
|---|---|
| Login-Brute-Force | 130.856 |
| XML-RPC-Brute-Force | 23.602 |
| Exploit-Versuche gegen Plugins | 15.998 |
| Benutzer-Enumeration | 13.768 |
| Offengelegte Konfigurationsdateien | 12.660 |
| Plugin-Scans | 10.609 |
| Exploit-Versuche gegen den Core | 6.227 |
| Versions-Scans | 5.737 |
Die Aufklärung macht einen großen Anteil aus. Benutzer-Enumeration, die Suche nach offengelegten Konfigurationsdateien und Plugin-Scans lagen jeweils über 10.000 Angriffen. Diese Anfragen kartieren die Site für den nächsten Schritt: welche Benutzernamen es gibt, welche Plugins installiert sind und welche Backup-Dateien herumliegen.
Wie zeigte sich wp2shell in den Daten?
wp2shell wurde am 17. Juli 2026 veröffentlicht, am selben Tag, an dem WordPress den Fix in Version 7.0.2 auslieferte. Es ist eine Kette zur Remote Code Execution ohne Anmeldung im WordPress-Core, die eine SQL-Injection (CVE-2026-60137) mit einem Fehler bei der Routenauflösung von REST-Batch-Anfragen (CVE-2026-63030) verbindet. Die technische Analyse von Rapid7 beschreibt die Kette im Detail. Die CISA nahm beide CVEs am 21. Juli in ihren Katalog aktiv ausgenutzter Schwachstellen auf.
Meldungen in der Kategorie für Missbrauch der WordPress-REST-API stiegen rund um die Veröffentlichung an. Vom 11. bis 17. Juli erhielt das Netzwerk zwischen 0 und 4 solcher Meldungen pro Tag, vom 18. bis 20. Juli 8 pro Tag. Die absoluten Zahlen sind klein, der Sprung beginnt aber am Tag nach der Veröffentlichung.
Hive lieferte zwei Tage nach der Veröffentlichung zwei Firewall-Regeln aus
Am 19. Juli 2026 ergänzte Hive 2.1.25 seine Web Application Firewall um die Regeln waf_rest_batch_desync und waf_rest_batch_nested. Beide gehören zur kostenlosen Paranoia-Level-1-Basis und greifen deshalb in jedem Tarif, sobald eine Site Hive 2.1.25 oder neuer nutzt. Der Schritt, mit dem die Kette einen Admin anlegt, braucht UNION SELECT, und das blockierte die kostenlose Regel waf_sqli_union schon vor diesem Release.
Die beiden neuen Regeln erkennen die Form der fehlerhaften Batch-Anfrage statt einer festen Zeichenkette. Zusätzliche Schrägstriche, protokollrelative und absolute URLs kommen nicht an ihnen vorbei, normale Batch-Aufrufe passieren. Eine Firewall-Regel überbrückt die Zeit, bis jede Site das Core-Update hat. Den WordPress-Patch ersetzt sie nicht.
Der Professional-Tarif ergänzt die tieferen Regelsätze
Auf eine RCE wie wp2shell folgt meist der Upload einer Web-Shell. Der Professional-Tarif ergänzt die Regelsätze für Paranoia-Level-2 und Level-3, darunter die Web-Shell-Gruppe, über einen mit Ed25519 signierten Regel-Sync. Kostenlose Installationen erhalten neue Regeln mit den Plugin-Releases, Professional-Installationen sobald sie erscheinen.
Wie wurden die Daten erhoben?
Alle Zahlen zählen die Meldungen in der Meldedatenbank von ReportedIP vom 1. Mai bis zum 21. Juli 2026 (Berliner Zeit), einschließlich ihrer Wiederholungen. Die Kategorien folgen den 63 Bedrohungskategorien der Plattform. Meldungen enthalten die IP des Angreifers, die Kategorie und die Uhrzeit. Standardmäßig werden keine User-Agents übertragen, und keine veröffentlichte Zahl lässt auf einen Meldenden schließen.
Die Zahlen wurden für die Veröffentlichung am 23. Juli 2026 gezählt. Eine Nachzählung am 29. September 2026 ergibt 1.692.614 Angriffe von 206.378 Adressen, weil seitdem einzelne Datensätze entfernt wurden.
Dieselben Daten speisen die Community Blacklist. Eine Adresse kommt ab einem Confidence-Score von 75 % hinein, sobald ihre letzte Meldung mindestens 48 Stunden alt ist.
Weiterverwendung und eigene Auswertungen
Alle Zahlen und das Diagramm in diesem Report stehen unter CC BY 4.0. Sie dürfen sie in Artikeln, Studien oder Vorträgen mit einem Link auf reportedip.com verwenden. Für einen eigenen Zeitraum, eine Aufteilung nach Ländern oder ein Zitat schreiben Sie an Patrick Schlesinger unter 1@reportedip.com. Das Report-Archiv finden Sie auf der Seite Threat Reports.
Was sollten WordPress-Betreiber aus diesen Zahlen ableiten?
- Mit Dauerlast rechnen. Automatisierte Angriffe fielen in diesem Quartal nie unter 133.000 pro Woche.
- Login und XML-RPC schützen. Login- und XML-RPC-Brute-Force führen die WordPress-Kategorien mit 130.856 und 23.602 Angriffen an.
- Das Patch-Fenster mit einer Firewall schließen. wp2shell zeigte die Lücke zwischen Veröffentlichung und Core-Update, eine Firewall-Regel deckt sie ab.
- Plugins aktuell halten. Die Regeln gegen wp2shell gibt es ab Hive 2.1.25. Preise anzeigen für den Professional-Regel-Sync.
Häufige Fragen
Wie viele Angriffe hat ReportedIP von Mai bis Juli 2026 erfasst?
ReportedIP hat vom 1. Mai bis zum 21. Juli 2026 genau 1.692.650 Angriffe von 206.388 eindeutigen IP-Adressen erfasst. Honeypot-Server protokollierten 1.505.488 davon, Mitglieds-Sites und Server-Integrationen meldeten 186.292. Der stärkste Tag war der 17. Juni mit 29.217 Angriffen, die stärkste Woche lief vom 15. bis 21. Juni.
Welcher Angriff auf WordPress-Sites war am häufigsten?
Login-Brute-Force gegen wp-login.php war der häufigste WordPress-Angriff, mit 130.856 Angriffen vom 1. Mai bis zum 21. Juli 2026. Es folgten XML-RPC-Brute-Force mit 23.602 und Exploit-Versuche gegen Plugins mit 15.998. Benutzer-Enumeration, die Suche nach Konfigurationsdateien und Plugin-Scans lagen jeweils über 10.000 Angriffen.
Waren kostenlose Hive-Sites gegen wp2shell geschützt?
Kostenlose Hive-Sites waren geschützt, sobald sie auf Hive 2.1.25 aktualisiert hatten, erschienen am 19. Juli 2026. Beide wp2shell-Regeln gehören zur kostenlosen Paranoia-Level-1-Basis, die in jedem Tarif mit dem Plugin ausgeliefert wird. Die Firewall überbrückt die Zeit bis zum gepatchten WordPress-Core, der die eigentliche Lösung bleibt.
Weiterlesen
- Hive für WordPress holen: 16 Sensoren, die Firewall und vier 2FA-Methoden in einem Plugin.
- wp2shell erklärt: die beiden Fehler, die Kette und wie man sie blockiert.
- Anleitung zum Honeypot-Server: einen eigenen Sensor betreiben und zum nächsten Report beitragen.