LONDON (IT BOLTWISE) – WordPress hat eine kritische Lücke im Kommentarbereich geschlossen, die aus einem anonymen XSS Angriffe mit Serverwirkung auslösen konnte. Unter bestimmten Bedingungen konnte ein Angreifer einen versteckten Code platzieren, der beim Aufruf durch einen Administrator eine Upload-Kette für eine Web-Shell ermöglicht. Betroffen sind WordPress-Versionen von 4.7 bis 7.1, und die Korrekturen liegen in den Releases 7.1.1, 7.0.5 und 6.9.8 bereit. Entscheidend ist: Ein reines „Kommentar-Moderations“-Häkchen reicht als Sicherheitskontrolle nicht.
WordPress hat mit dem Fix für CVE-2026-93485 eine Sicherheitslücke aus der Kategorie „Comment2Shell“ entschärft, bei der ein scheinbar harmloser Eingriff im Kommentarbereich in eine deutlich gefährlichere Auswirkung übergehen konnte. Laut den veröffentlichten Details konnte ein anonymer Besucher einen Kommentar so speichern, dass er beim späteren Seitenaufruf durch einen Administrator nicht nur im Browser lief, sondern als Zwischenschritt die Voraussetzungen für eine serverseitige Codeausführung schaffen konnte. Die Freigabe erfolgte in WordPress 7.1.1; zugleich taucht die Problembezeichnung auf, weil die Kette von einem Browser-Event bis hin zu einer Web-Shell führte. Patchstack ordnete der Schwachstelle einen CVSS-Score von 7,1 von 10 zu.
Der technische Kern liegt weniger in einer klassischen „fehlenden Berechtigungsprüfung“ als in der Lücke zwischen zwei Verarbeitungsschritten: Beim Speichern prüft WordPress Kommentare auf potenziell gefährliches HTML und bereinigt bzw. formatiert sie, bevor sie angezeigt werden. Genau in dieser Lücke zwischen „speichern“ und „rendern“ konnte ein bestimmter Zeilenumbruch innerhalb eines Attributs eines erlaubten HTML-Tags dazu führen, dass WordPress beim späteren Reformatieren das Tag auseinanderbrach. Dadurch gelang es, Text an eine Stelle zu verschieben, an der der Browser ihn als aktiven Handler interpretierte. Dieser Handler lief beim Laden der Seite automatisch, ohne dass der Administrator vorher klicken musste.
Damit war zwar noch keine unmittelbare Server-Kompromittierung erreicht, aber die nächste Bedingung machte den Sprung realistisch: Der bösartige Code musste im Kontext einer Person mit Admin-Rechten ausgeführt werden. Praktisch bedeutete das, dass ein eingeloggter Administrator die Seite mit dem manipulierten Kommentar öffnen musste. Erst dann konnte das Skript die Administrator-Session nutzen, um über die vorgesehenen Upload-Funktionen ein Plugin hochzuladen, das als Web-Shell fungiert. Eine Web-Shell ist dabei kein abstraktes Konzept, sondern ein kleines, serverseitiges Artefakt, das typischerweise Kommandos entgegennimmt und ausführt – damit verschiebt sich das Risiko von „Session im Browser“ zu „Befehle direkt auf dem Server“.
Der Angriffsverlauf war zudem nicht „plattformweit garantiert“, sondern hing davon ab, wie die Kommentare im Theme gerendert werden. Die beschriebenen Bedingungen funktionierten insbesondere auf Seiten, die ein Block-Theme oder ein klassisches Theme verwenden, das Kommentare in vergleichbarer Weise formatiert. Andere Theme-Renderpfade konnten die Umwandlung beim Ausgeben anders behandeln und damit die eigentliche Umbruch-/Attribut-Trennung entschärfen. Diese Abhängigkeit erklärt auch, warum die Lücke in der Praxis eher bei spezifischen WordPress-Setups sichtbar wird: Nicht jede Installation, die Kommentare nutzt, ist automatisch anfällig, aber viele typischen Theme-Kombinationen sind es eben doch.
Für die praktische Risikobewertung kommt noch ein weiterer Punkt hinzu: Der Kommentar musste zunächst auf der Seite erscheinen. WordPress beschreibt die Ausnutzbarkeit „subject to comment approval“, also abhängig davon, ob Kommentare freigegeben werden. Gleichzeitig wird aus den Details deutlich, dass Kommentar-Moderation allein nicht zuverlässig als Sicherheitskontrolle taugt, weil Einstellungen und Workarounds es ermöglichen konnten, dass ein Kommentar die Seite erreicht, ohne dass eine Freigabe durchläuft. Patchstack bringt das sinngemäß auf den Punkt: „moderation isn’t a security control.“ Genau deshalb sollten Betreiber ihre Maßnahmen auf zwei Ebenen denken: Updates, die die Ursache schließen, und zusätzliche Härtungsschritte, die den Eintrittspunkt weiter verengen.
Für die Abwehr ist die Empfehlung vergleichsweise eindeutig: WordPress auf 7.1.1 aktualisieren oder, sofern weiterhin Sicherheitspatches für eine eigene Release-Branch gefahren werden, auf die jeweils aktuelle fixe Version. Betroffen sind laut den Angaben WordPress 4.7 bis 7.1; die festen Releases für die genannten Linien lauten 7.1.1 (7.1), 7.0.5 (7.0) und 6.9.8 (6.9). Ältere Wartungszweige ab 4.7 sollten auf die passende Fix-Fassung zurückgeführt werden, im Text wird als Beispiel bis hinunter zu 4.7.36 verwiesen. Wer nicht sofort aktualisieren kann, kann als Sofortmaßnahme Kommentare auf Beiträgen schließen oder die Kommentar-Funktion standortweit deaktivieren; außerdem können Web Application Firewalls oder Sicherheits-Plugins den konkret konstruierten Kommentar blockieren. Wichtig ist die zweite Sicherheitsdimension: Ein Update repariert die Lücke, aber es „löscht“ keine bereits installierten Artefakte – deshalb sollten betroffene Seiten bei Verdacht auch nach unbekannten Plugins oder Dateien suchen.
Ein breiterer Blick auf den Kontext zeigt, warum schnelle Patch-Zyklen in WordPress-Umgebungen aktuell besonders wichtig sind. In demselben Release-Kontext werden insgesamt 11 Sicherheitsprobleme behoben, wobei neben Comment2Shell auch eine zweite Schwachstelle namens Click2Shell adressiert wurde, die über einen manipulierten Link zu einer Theme-Installation und anschließend zu Codeausführung führen konnte. Darüber hinaus wird im Jahresverlauf auf weitere, getrennte Lücken hingewiesen: In einem Fall konnten Angreifer bereits ohne Login Code ausführen; in einem anderen Fall wurde eine Schwachstelle in der Login-Logik ausgenutzt, um mit Admin-Rechten zu handeln. Für IT-Teams bedeutet das: Die Angriffsfläche entsteht nicht durch „ein einzelnes schlechtes Event“, sondern durch das Zusammenspiel mehrerer Komponenten – Input-Verarbeitung, Darstellung, Berechtigungen und Upload-Pfade. Damit rückt neben dem reinen Patchen auch die konsequente Überwachung von Admin-Aktionen, Uploads und der Integrität installierter Plugins stärker in den Fokus.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WordPress „Comment2Shell“: XSS führt über Admin-Session zu Serverzugriff" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WordPress „Comment2Shell“: XSS führt über Admin-Session zu Serverzugriff" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WordPress „Comment2Shell“: XSS führt über Admin-Session zu Serverzugriff« bei Google Deutschland suchen, bei Bing oder Google News!