Nachtrag vom 12. Oktober: 7.1.2 reicht nicht mehr
Zwei Wochen nach dieser Lücke hat WordPress am 6. Oktober die Fassung 7.1.3 nachgeschoben. Sie schließt sieben weitere Sicherheitslücken. Über eine davon ließen sich Kommentare zu privaten und unveröffentlichten Beiträgen ohne Anmeldung auslesen, über eine andere konnte ein noch nicht freigegebener Kommentar Schadcode in die Kommentarverwaltung tragen. Auch diese Korrekturen sind am selben Tag in alle Zweige bis 4.7 gegangen.
Wer im September aktualisiert hat, muss deshalb noch einmal ran. Maßgeblich ist jetzt die rechte Spalte der Tabelle weiter unten.
Worum es geht
Ein nicht angemeldeter Angreifer kann unter bestimmten Bedingungen erreichen, dass beim Auflösen der Seitenvorlage eine beliebige lesbare PHP-Datei außerhalb der Theme-Verzeichnisse eingebunden wird. Passen Serverumgebung und aktives Theme zusammen, führt das bis zur Ausführung fremden Codes. So beschreibt es die Veröffentlichung von WordPress selbst, gemeldet hat es Robert Ressl.
Die Lücke trägt die Kennung CVE-2026-87902.
Wer betroffen ist
Die Behebung ist auf alle Zweige zurückportiert worden, die noch Sicherheitsfixes bekommen, derzeit bis 4.7. Betroffen ist deshalb jede Installation, die unterhalb der behobenen Fassung ihres eigenen Zweiges liegt. Die Fassungen mit dieser Behebung sind am 22. September 2026 erschienen, die mit den sieben weiteren Korrekturen am 6. Oktober:
| Zweig | Behebung vom 22. September | Aktuell seit 6. Oktober |
|---|---|---|
| 7.1 | 7.1.2 | 7.1.3 |
| 7.0 | 7.0.6 | 7.0.7 |
| 6.9 | 6.9.9 | 6.9.10 |
| 6.8 | 6.8.10 | 6.8.11 |
Ältere Zweige bis 4.7 haben an beiden Tagen ebenfalls eine Fassung bekommen. Läuft bei dir eine Nummer, die kleiner ist als die in der rechten Spalte für deinen Zweig, fehlen dir Korrekturen.
So findest du deine Fassung heraus
Im Verwaltungsbereich steht sie unter Dashboard → Aktualisierungen. Von außen, ohne Anmeldung, geht es auch: Ruf deine Adresse mit dem Zusatz /wp-links-opml.php auf. In der Antwort steht eine Zeile mit generator="WordPress/…" und darin die Nummer.
Verlass dich dabei nicht auf die Angabe im Quelltext der Startseite. Viele Themes tragen dort ihre eigene Versionsnummer ein, und die hat mit WordPress nichts zu tun. Bei einer Seite, die wir geprüft haben, stand dort die Nummer des Themes, während WordPress selbst eine ganz andere Fassung fuhr.
Was zu tun ist
Aktualisieren, und zwar heute. Im Verwaltungsbereich unter Aktualisierungen auf „Jetzt aktualisieren". Wer automatische Hintergrund-Aktualisierungen aktiviert hat, bekommt sie ohne Zutun, sollte aber trotzdem nachsehen, ob sie angekommen ist.
Wenn du dich an ein Update nicht herantraust, weil die Seite von einer Agentur gebaut wurde: genau dafür gibt es die Agentur. Eine kurze Mail mit der Nummer aus diesem Text reicht.
Warum eine alte Fassung teurer ist, als sie aussieht
Eine Lücke wie diese wird mit der Veröffentlichung öffentlich, samt Beschreibung. Ab dem Moment suchen automatische Scanner danach, und sie fragen nicht, wie groß ein Betrieb ist. Eine kompromittierte Seite kostet zwei Dinge auf einmal: die Seite selbst, und den Ruf bei Google, das kompromittierte Seiten aus dem Index nimmt oder mit einer Warnung versieht.