WordPress-Lücke wird aktiv ausgenutzt: Was Betreiber jetzt prüfen müssen
Die US-Cyberbehörde CISA nimmt CVE-2026-87902 in ihren Katalog aktiv ausgenutzter Schwachstellen auf. Für WordPress-Betreiber zählt jetzt nicht nur das Update, sondern auch die Prüfung auf Spuren eines früheren Angriffs.
Bin ich betroffen? Prüfen Sie im WordPress-Dashboard unter «Aktualisierungen» die tatsächlich installierte Core-Version. Betroffen sind ungepatchte Versionszweige von 4.7 bis 7.1. Wer 7.1.2, 7.0.6, 6.9.9, 6.8.10, 6.7.9 oder die entsprechende Sicherheitsversion seines älteren Zweigs installiert hat, verfügt über den veröffentlichten Fix. Automatische Updates allein sind kein Beleg – entscheidend ist die angezeigte Version.
Die US-Behörde für Cybersicherheit CISA hat CVE-2026-87902 am 25. September in ihren Katalog bekanntermassen ausgenutzter Schwachstellen aufgenommen. Damit ist belegt, dass die Lücke nicht nur theoretisch beschrieben, sondern in realen Angriffen verwendet wird. Betroffen ist der WordPress-Kern – und damit potenziell eine sehr grosse Zahl von Websites, darunter auch Auftritte von Schweizer Firmen, Vereinen und Behörden.
Die Warnung bedeutet jedoch nicht, dass jede WordPress-Seite bereits kompromittiert ist oder unter allen Konfigurationen übernommen werden kann. Entscheidend sind die installierte Version, das aktive Theme und die Serverumgebung. Gerade diese Differenzierung macht schnelles, aber geordnetes Handeln nötig.
Was CISA tatsächlich bestätigt
CISA führt die Schwachstelle unter der Bezeichnung «WordPress Core Remote File Inclusion Vulnerability». Die Aufnahme in den Known Exploited Vulnerabilities Catalog, kurz KEV, setzt belastbare Hinweise auf aktive Ausnutzung voraus. Details zu einzelnen Opfern oder zum Umfang der Angriffe nennt der Eintrag nicht.
Für die von der US-Direktive erfassten zivilen Bundesbehörden ist die Behebung bis zum 28. September 2026 vorgesehen. Schweizer Unternehmen unterliegen dieser Frist nicht. Die ungewöhnlich kurze Vorgabe zeigt aber, wie hoch CISA die operative Priorität einstuft.
Der wichtigste Unterschied liegt zwischen Verwundbarkeit und Vorfall: CISA bestätigt die aktive Ausnutzung der Lücke, nicht den Einbruch auf einer bestimmten Schweizer Website.
Wie aus einem Pfadproblem ein Angriff werden kann
Ein nicht authentifizierter Angreifer kann unter bestimmten Voraussetzungen die Auflösung von Seitenvorlagen dazu bringen, eine lesbare lokale PHP-Datei ausserhalb der aktiven Theme-Verzeichnisse einzubinden. Wenn weitere Bedingungen erfüllt sind, kann daraus die Ausführung von Code auf dem Server entstehen.
Das offizielle Advisory nennt zwei zentrale Voraussetzungen: Das aktive Eltern- oder Child-Theme besitzt ein oberstes Verzeichnis, dessen Name mit page- beginnt, und auf dem Server existiert eine geeignete PHP-Datei, die der Webserver lesen kann. Betroffen sein können beispielsweise bestimmte Strukturen älterer Standard-Themes sowie der Themes Neve, Hestia und Sydney. Der Einsatz eines genannten Themes allein beweist jedoch weder eine unmittelbar ausnutzbare Installation noch einen erfolgten Angriff.
Gepatchte Version statt bloss aktivierter Automatik
WordPress 7.1.2 schliesst die Schwachstelle. Für ältere Zweige wurden ebenfalls Sicherheitsupdates veröffentlicht: 7.0.6, 6.9.9, 6.8.10 und 6.7.9 gehören zu den aktuellen Fix-Versionen; weitere Backports reichen bis WordPress 4.7.37. WordPress weist zugleich darauf hin, dass nur die neueste Hauptversion aktiv unterstützt wird.
Betreiber sollten deshalb nicht lediglich kontrollieren, ob automatische Hintergrundupdates aktiviert sind. Im Dashboard muss tatsächlich eine gepatchte Version angezeigt werden. Das Update sollte über die reguläre WordPress-Verwaltung, den Hosting-Anbieter oder eine offizielle WordPress-Quelle erfolgen. Vorher gehört eine belastbare Sicherung von Datenbank und Dateien zum Standard.
Ein Update schliesst die Tür, löscht aber keine Spuren
Wurde die Lücke bereits ausgenutzt, macht das nachträgliche Update eine Veränderung nicht automatisch rückgängig. Administratoren sollten zusätzlich prüfen, ob neue Benutzerkonten angelegt, Administratorrechte verändert, unbekannte Dateien hochgeladen oder Plugins und Themes unerwartet modifiziert wurden. Auch Webserver-Protokolle, geplante Aufgaben und ausgehende Verbindungen können Hinweise liefern.
Ein blosses Löschen einer auffälligen Datei reicht bei einer bestätigten Kompromittierung meist nicht. Angreifer können mehrere Zugänge hinterlassen. Eine Wiederherstellung aus einer nachweislich sauberen Sicherung und die Schliessung des ursprünglichen Einfallstors sind dann verlässlicher. Bei Verdacht sollte die Website isoliert und Fachhilfe beigezogen werden, bevor Protokolle oder andere Beweise überschrieben werden.
Kernlücke statt einzelnes Plugin
Für die Priorisierung ist entscheidend, dass der Eintrag den WordPress-Kern nennt. Das Problem lässt sich daher nicht allein durch das Deaktivieren eines Plugins beheben. Plugins und Themes bleiben trotzdem Teil der Prüfung: Sie können die Angriffsvoraussetzungen beeinflussen, zusätzliche Schwachstellen enthalten oder nach einem Einbruch verändert worden sein.
Auch eine selten besuchte Website ist kein unattraktives Ziel. Automatisierte Scanner suchen das Netz fortlaufend nach verwundbaren Versionen. Verantwortliche sollten daher klären, wer Updates überwacht und wer bei einem Verdacht entscheidet – auch wenn der technische Betrieb an eine Agentur oder einen Hoster ausgelagert ist.
Fünf Schritte für Betreiber
- Installierte WordPress-Version im Dashboard kontrollieren.
- Die gepatchte Sicherheitsversion des verwendeten Zweigs einspielen.
- Administratoren, Plugins, Themes und zuletzt veränderte Dateien überprüfen.
- Zugangsdaten erneuern, wenn ein Verdacht besteht oder unbekannte Konten auftauchen.
- Bei Einbruchsspuren die Website isolieren und Fachleute beiziehen.
WordPress wird für Onlineshops, Mitgliederportale und Firmenauftritte eingesetzt. Eine kompromittierte Seite kann Daten gefährden, Besucher umleiten oder als Ausgangspunkt für weitere Angriffe dienen. Wer jetzt die konkrete Version prüft, aktualisiert und anschliessend nach Spuren sucht, behandelt deshalb beide Risiken: den noch möglichen Angriff und den bereits unbemerkt erfolgten.
Quellen
WordPress: Veröffentlichung von Version 7.1.2
WordPress/GitHub: Sicherheits-Advisory zu CVE-2026-87902
CISA: CVE-2026-87902 in den KEV-Katalog aufgenommen
