LONDON (IT BOLTWISE) – WordPress hat eine kritische Sicherheitslücke im Kern gepatcht, die ohne Benutzerkonto das Laden einer PHP-Datei außerhalb der Theme-Ordner ermöglichen kann. Auf manchen Servern kann das im nächsten Schritt zur Ausführung von Angreifer-Code führen. Das Update wurde am 22. September in WordPress 7.1.2 veröffentlicht, wobei das Projekt auch ältere unterstützte Zweige gezielt nachzieht. Betreiber müssen je nach Branch-Version jetzt aktualisieren, da es keinen separaten Workaround gibt.
WordPress schiebt am 22. September 2026 ein Security-Update nach, das eine als kritisch eingestufte Schwachstelle im Kern behebt. Laut Angabe des Projekts kann ein Angreifer ohne Konto eine Seite so auslösen, dass eine PHP-Datei außerhalb der üblichen Theme-Ordner nachgeladen wird. In der Praxis bleibt der letzte Schritt hin zu vollständiger Codeausführung von weiteren Bedingungen abhängig, dennoch ordnet WordPress die Lücke mit einer CVSS-Bewertung von 9,2 ein und vergibt die Kennung CVE-2026-87902.
Betroffen sind demnach alle WordPress-Versionen von 4.7.0 bis 7.1.1. Besonders brisant ist dabei, dass auch WordPress 7.1.1 noch anfällig ist, obwohl es erst am 17. September im Rahmen eines Sicherheits-Release veröffentlicht wurde. Wer also „kurz vor dem Stichtag“ aktualisiert hat, steht weiterhin vor einem Pflicht-Update auf die korrigierte Version. Die Versionsfolge ist dabei branchabhängig: Für den 7.1.x-Zweig ist das Update auf 7.1.2 vorgesehen, während für 7.0.x die Version 7.0.6, für 6.9.x die Version 6.9.9 und entsprechend für weitere ältere Zweige (bis zurück nach 4.7.37) reparierte Builds bereitgestellt wurden.
Technisch verortet WordPress das Problem in der Art, wie das System für eine Seite die passende Template-Datei auswählt. Dabei baut WordPress Dateinamen zumindest teilweise aus Bestandteilen der Webadresse. Auf betroffenen Versionen wird dieser generierte Wert nicht ausreichend über eine eigene Prüfung auf Traversal-Schritte wie „../“ abgesichert, obwohl die benachbarte Logik im Umfeld bereits eine solche Prüfung nutzt. Der daraus entstehende Pfad-Fehler wird zudem dadurch „gefiltert“, dass der Dateiname in dem Muster page-{value}.php zusammengesetzt wird: Damit der Angriff wirklich funktioniert, muss das aktive Theme eine passende Top-Level-Folderstruktur mit einem Präfix „page-“ bereitstellen, und die Ziel-Datei muss auf „.php“ enden.
Genau hier liegt der Grund, weshalb WordPress nicht pauschal von Codeausführung auf allen betroffenen Sites spricht. Das Nachladen einer lokalen PHP-Datei ist zunächst „nur“ ein Einlade- oder Include-Szenario: Läuft die Datei in dem Moment, in dem sie vom Server eingebunden wird, werden die in dieser Datei enthaltenen Anweisungen automatisch ausgeführt. Für Angreifer bedeutet das: Sie benötigen zusätzlich ein serverseitiges Setup, in dem bereits eine PHP-Datei existiert, die beim Laden nützliche Aktionen ausführt. „Einige Server“ ist deshalb keine Formulierung ohne Substanz, sondern ein Hinweis auf unterschiedliche Theme-Strukturen, Dateibereiche und Serverkonfigurationen in der realen Welt.
Eine weitere Perspektive liefert ein Security-Analyseanbieter, der zwei Indikatoren für die Exposition nennt. Erstens soll relevant sein, ob das aktive Theme eine Top-Level-Ordnerstruktur besitzt, deren Name mit „page-“ beginnt. Zweitens nennt die Analyse einen PHP-Parameter namens register_argc_argv, der für eine bekannte Code-Execution-Technik eine Rolle spielen kann. In diesem Kontext betont WordPress, dass weder das Theme-Folder-Muster noch die PHP-Einstellung an sich eine Korrektur darstellen. Beide Faktoren geben jedoch laut Anbieter einen besseren Maßstab dafür, wie nahe ein System am Worst Case bereits konfiguriert ist. Interessant ist außerdem die Abstufung nach PHP-Version: Der Parameter ist dem Bericht zufolge standardmäßig ausgeschaltet in PHP 8.5, während er in älteren PHP-Versionen eingeschaltet sein soll.
Zum Zeitpunkt des Updates nennt WordPress keine gemeldeten Vorfälle, kein öffentliches Proof-of-Concept und auch keinen Eintrag in einem US-gestützten Katalog bekannter ausnutzbarer Lücken. Das senkt zwar die Dringlichkeit hinsichtlich „aktiver Ausnutzung“, ersetzt aber nicht das Risiko-Management, weil die Kette aus Dateiauswahl und potenziellem Include-Szenario grundsätzlich sofort nach Offenlegung „brauchbar“ wird. Betreiber sollten deshalb nicht auf eine entfernte Wahrscheinlichkeit setzen. Wenn automatische Hintergrundupdates aktiv sind, startet WordPress die Aktualisierung selbstständig; andernfalls führt der Weg über das Dashboard im Bereich Updates oder über den direkten Download der passenden Release-Pakete von der WordPress-Website.
Für die Praxis in Unternehmen bedeutet das: Sicherheitsverantwortliche sollten die WordPress-Installationen nicht nur auf „aktuell“ im Sinne der letzten Patch-Welle prüfen, sondern gezielt die korrekte Zielversion je Branch erfassen. Besonders relevant wird das bei gemischten Umgebungen, etwa wenn Entwickler- und Produktionssysteme über längere Wartungsfenster verteilt bleiben oder wenn ältere PHP-Stände aus Kompatibilitätsgründen länger laufen. Gleichzeitig zeigt die Schwachstelle, wie eng Template- und Routing-Logik mit Input-Validierung verknüpft ist: Eine scheinbar kleine Lücke in der Pfadprüfung kann in Kombination mit Theme-Layout und Server-Features unerwartet weit führen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WordPress 7.1.2 behebt kritische Lücke mit möglicher PHP-Codeausführung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WordPress 7.1.2 behebt kritische Lücke mit möglicher PHP-Codeausführung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WordPress 7.1.2 behebt kritische Lücke mit möglicher PHP-Codeausführung« bei Google Deutschland suchen, bei Bing oder Google News!