Kritische WordPress-Sicherheitslücke – dringendes Update empfohlen
Dieser Artikel wurde bereits 273x gelesen...
Eine schwerwiegende Schwachstelle im WordPress-Kern ermöglicht es Angreifern unter bestimmten Voraussetzungen, Schadcode auf Webservern auszuführen. Die Sicherheitslücke mit der Kennung CVE-2026-87902 wird bereits aktiv ausgenutzt.
Die Schwachstelle betrifft die WordPress-Funktion get_page_template(). Durch manipulierte Dateipfade können Angreifer ohne Anmeldung lokale PHP-Dateien außerhalb des vorgesehenen Theme-Verzeichnisses einbinden.
Unter bestimmten Bedingungen kann daraus eine vollständige Kompromittierung der Webseite entstehen. WordPress bewertet die Schwachstelle mit einem kritischen CVSS-Wert von 9,2.
Sicherheitsforscher von Patchstack beobachteten bereits im September 2026 aktive Angriffsversuche, darunter Versuche, schädliche PHP-Dateien auf betroffenen Servern abzulegen.
Betroffen sind WordPress-Versionen von 4.7 bis einschließlich 7.1.1. Sicherheitsupdates stehen auch für zahlreiche ältere Versionszweige zur Verfügung.
Die Sicherheitslücke wurde unter anderem mit folgenden Versionen geschlossen:
- WordPress 7.1.2
- WordPress 7.0.6
- WordPress 6.9.9
- WordPress 6.8.10
Die Schwachstelle befindet sich im WordPress-Kern und ist kein Fehler eines einzelnen Plugins. Die Ausführung von Schadcode setzt allerdings bestimmte Theme- und Serverkonfigurationen voraus.
Quellen:
0 Kommentare