WordPress 7.1.2 schließt Sicherheitslücke im Kernsystem
WordPress 7.1.2 und Sicherheitsupdates für ältere Versionsreihen schließen eine Lücke, die unter bestimmten Bedingungen die Übernahme einer Website ermöglicht.
Am 22. September 2026 hat WordPress mit Version 7.1.2 eine Sicherheitslücke im Kernsystem geschlossen. Auch für ältere Versionsreihen bis zurück zu WordPress 4.7 wurden korrigierte Ausgaben veröffentlicht. Betreiber von WooCommerce-Shops auf betroffenen WordPress-Versionen sollten das passende Sicherheitsupdate unverzüglich installieren und anschließend kontrollieren, ob die Aktualisierung erfolgreich abgeschlossen wurde.
Die Schwachstelle trägt die Kennung CVE-2026-87902. Angreifer können sie über das Internet ohne Benutzerkonto und ohne Mitwirkung eines Administrators erreichen. Unter bestimmten Voraussetzungen ist darüber eine vollständige Übernahme der Website möglich.
Angriff hängt von Theme und Server ab
Der Fehler betrifft die Auswahl von Vorlagendateien für die Seitendarstellung. Durch manipulierte Pfadangaben kann WordPress dazu gebracht werden, eine lesbare PHP-Datei außerhalb des aktiven Theme-Verzeichnisses einzubinden. Dieses Verlassen der vorgesehenen Verzeichnisgrenzen wird als „Path Traversal“ bezeichnet.
Damit daraus die Ausführung von Code auf dem Server wird, müssen weitere Bedingungen erfüllt sein: Das aktive Theme oder sein übergeordnetes Theme muss ein Verzeichnis auf oberster Ebene besitzen, dessen Name mit „page-“ beginnt. Zusätzlich muss eine geeignete, für den Webserver lesbare PHP-Datei vorhanden sein. Nicht jede ungepatchte Installation lässt sich deshalb unmittelbar vollständig übernehmen. Der Theme-Name allein reicht zur Beurteilung nicht aus.
Wordfence stellte für Premium, Care und Response am 22. September 2026 eine Firewall-Regel bereit. Für Wordfence Free war dieser Schutz laut damaliger Ankündigung für den 22. Oktober 2026 vorgesehen. Eine Firewall ersetzt das WordPress-Update nicht.
Was das für Ihren Shop bedeutet
Wenn Sie Buchungen, Abos, B2B-Preise oder eine Warenwirtschaftsanbindung nutzen, betrifft die Meldung das zugrunde liegende WordPress-System und nicht eine einzelne Shop-Erweiterung. Sie sollten die installierte WordPress-Version prüfen und die korrigierte Ausgabe Ihrer Versionsreihe einspielen. Kontrollieren Sie danach den erfolgreichen Abschluss, auch wenn automatische Updates aktiviert sind. Verlassen Sie sich weder auf den Theme-Namen noch auf einen vorhandenen Firewall-Schutz als Ersatz für die Aktualisierung.