Kritische WordPress-Kernlücke CVE-2026-87902: Jetzt updaten

WordPress hat am 22. September 2026 ein außerplanmäßiges Sicherheitsupdate veröffentlicht und damit eine kritische Lücke im Kern geschlossen (CVE-2026-87902, CVSS 9.2). Unter bestimmten Server-Voraussetzungen können Angreifer ohne Anmeldung fremde PHP-Dateien einbinden und so Schadcode ausführen. Erste Ausnutzungsversuche wurden bereits am selben Tag beobachtet. Weil ein erheblicher Teil aller Unternehmenswebseiten auf WordPress läuft, sollten betroffene Installationen umgehend aktualisiert werden.

Was ist passiert?

Die Schwachstelle CVE-2026-87902 steckt nicht in einem Plugin, sondern im WordPress-Kern selbst. Ursache ist die Template-Auflösung in der Funktion get_page_template(): Der pagename-Wert aus der URL fließt ohne ausreichende Prüfung in die Liste möglicher Template-Dateien ein. Dadurch lässt sich eine lokale Datei-Einbindung (Local File Inclusion) erzwingen, die unter passenden Bedingungen zu Remote Code Execution führt.

Der Angriff erfordert weder ein Konto noch eine Aktion eines eingeloggten Nutzers. Betroffen sind laut Analysen die Kern-Versionen 4.7.0 bis 7.1.1. Die korrigierten Ausgaben sind 7.1.2, 7.0.6, 6.9.9 und 6.8.10; für ältere Zweige wurden Backports (u. a. 6.7.9, 6.6.9) bereitgestellt. Der Patch wurde am 22. September 2026 ausgeliefert – die ersten Ausnutzungsversuche begannen noch am selben Tag.

Wer ist betroffen?

Verwundbar sind WordPress-Installationen unterhalb der oben genannten Patch-Stände. Die tatsächliche Codeausführung setzt zusätzlich bestimmte Server-Bedingungen voraus – unter anderem ein aktives Theme, dessen Verzeichnisname mit page- beginnt, sowie eine lokal erreichbare, lesbare PHP-Datei (etwa pearcmd.php). Auch wenn nicht jede Seite alle Voraussetzungen erfüllt: Angesichts der aktiven Ausnutzung und der weiten Verbreitung sollte jede Installation unterhalb der Patch-Versionen als gefährdet behandelt werden. Das betrifft Firmenwebseiten, Shops und Portale von KMU quer durch alle Branchen.

Was jetzt zu tun ist

1. WordPress-Version prüfen (Dashboard unter Werkzeuge → Website-Zustand oder im Fußbereich der Admin-Oberfläche).
2. Sofort auf den passenden Patch-Stand aktualisieren – 7.1.2, 7.0.6, 6.9.9, 6.8.10 oder das entsprechende Point-Release des eigenen Zweigs.
3. Prüfen, ob automatische Hintergrund-Updates aktiv sind, und das eingespielte Ergebnis nach dem Update verifizieren – verlassen Sie sich nicht blind auf Auto-Updates.
4. Bei Verdacht auf Kompromittierung Logs auf ungewöhnliche Zugriffe mit pagename-/Template-Parametern und unerwartete PHP-Dateien im Webverzeichnis kontrollieren.
5. Backups sicherstellen und WordPress-Kern, Themes und Plugins dauerhaft aktuell halten.

So hilft Binary System Services

Wir übernehmen Patch-Management und Update-Überwachung für WordPress-Umgebungen, prüfen Ihre Installationen auf verwundbare Versionen und spielen kritische Sicherheitsupdates zeitnah und kontrolliert ein. Bei Verdacht auf einen Angriff unterstützen wir mit Log-Analyse, Bereinigung und Härtung Ihrer Webserver. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.