WordPress 7.1.2 schließt kritische Sicherheitslücke
WordPress 7.1.2 behebt eine kritische Sicherheitslücke, die unter bestimmten Voraussetzungen die Ausführung von Schadcode ermöglicht.
Am 22. September 2026 erschien WordPress 7.1.2 mit einer Korrektur für eine als kritisch eingestufte Sicherheitslücke. Unter bestimmten Voraussetzungen können Angreifer darüber ohne Anmeldung Code auf dem Server ausführen. Für Betreiber von WooCommerce-Shops ist deshalb die zugrunde liegende WordPress-Installation relevant. Die Veröffentlichung empfiehlt, das Sicherheitsupdate umgehend einzuspielen.
Die Aktualisierung lässt sich im WordPress-Dashboard unter „Aktualisierungen“ anstoßen. Bei Installationen mit aktivierten automatischen Hintergrundupdates beginnt der Vorgang automatisch. Ob die Installation bereits aktualisiert wurde, sollten Betreiber entsprechend kontrollieren.
Angriff über die Auswahl von Seitenvorlagen
Die Schwachstelle betrifft den Mechanismus, mit dem WordPress die Vorlage für eine Seite bestimmt. Ein Angreifer kann unter bestimmten Bedingungen erreichen, dass dabei eine von ihm ausgewählte, auf dem Server lesbare PHP-Datei außerhalb der Verzeichnisse der aktiven Themes eingebunden wird. Treffen zusätzlich die nötigen Voraussetzungen in der Serverumgebung und im aktiven Theme zu, ist eine Codeausführung aus der Ferne möglich. Dafür ist keine Anmeldung erforderlich.
Die Lücke wird unter CVE-2026-87902 geführt. Der Sicherheitsfix wurde auch für ältere Versionszweige bereitgestellt, die zum Veröffentlichungszeitpunkt Sicherheitskorrekturen erhielten, zurück bis zum Zweig 4.7. WordPress weist zugleich darauf hin, dass nur die jeweils neueste Version aktiv unterstützt wird.
Was das für Ihren Shop bedeutet
Wenn Sie Buchungen, Abos, B2B-Preise oder eine Warenwirtschaftsanbindung nutzen, betrifft diese Meldung die WordPress-Basis Ihres Shops, nicht eine angekündigte Änderung dieser Funktionen. Prüfen Sie, ob das Sicherheitsupdate automatisch installiert wurde. Falls nicht, sollten Sie die passende Sicherheitsaktualisierung wegen der als kritisch eingestuften Lücke umgehend einspielen. Prüfen Sie dabei die Abläufe Ihrer Erweiterungen möglichst vorab in einer Testumgebung, ohne das Sicherheitsupdate unnötig aufzuschieben.