CVE-⁠2026-⁠87902 in WordPress – jetzt auf den korrigierten Stand aktualisieren

CVE-⁠2026-⁠87902 ermöglicht entfernten Angreifern, beliebigen Programmcode in WordPress auszuführen. Ein Konto ist dafür nicht erforderlich, und die Schwachstelle wird bereits aktiv ausgenutzt.

Anonyme Ausnutzung macht die Lücke dringlich

Die Kombination ist entscheidend: Der Angriff erfolgt aus der Ferne, setzt laut Advisory keinen angemeldeten Nutzer voraus und kann zur Ausführung beliebigen Programmcodes führen. Der CVSS-⁠Basiswert liegt bei 9,8 und wird als kritisch eingestuft. Noch wichtiger für die Priorisierung im Betrieb: Die Lücke ist nicht nur theoretisch, sondern wird bereits aktiv ausgenutzt.

Damit gehört die Prüfung betroffener WordPress-⁠Installationen vor normale, weniger dringliche Wartungsaufgaben. Warten Sie nicht auf den nächsten regulären Pflegezyklus, wenn Ihre Installation in einen betroffenen Versionszweig fällt. Das Advisory wurde am 28. September aktualisiert und nennt dabei neu aufgenommene Debian-⁠Updates.

Für jeden Versionszweig gilt ein eigener korrigierter Stand

Es gibt nicht eine einzige Versionsnummer, auf die alle Installationen aktualisiert werden können. Das CERT-⁠Bund-⁠Advisory führt korrigierte Ausgaben für zahlreiche WordPress-⁠Zweige auf. Genannt werden unter anderem WordPress 7.1.2, 7.0.6, 6.9.9 und 6.8.10; für ältere Zweige reichen die aufgeführten korrigierten Versionen bis 4.7.37 zurück. Die jeweils passende Zielversion hängt daher vom eingesetzten Zweig ab.

Vergleichen Sie die tatsächlich installierte WordPress-⁠Core-⁠Version mit dem Eintrag für genau diesen Zweig. Das Advisory führt außerdem betroffene Versionen unterhalb der jeweiligen korrigierten Ausgabe auf. Eine Installation ist also nicht schon deshalb aus dem Risiko, weil sie eine andere Hauptversion als die aktuellste verwendet. Entscheidend ist, ob für ihren Zweig die genannte korrigierte Version erreicht ist.

Bei Installationen, deren Aktualisierung über einen Dienstleister oder einen internen Betriebsprozess läuft, sollte die Zuständigkeit jetzt eindeutig sein: Wer prüft den Stand, wer spielt das Update ein und wer bestätigt danach die aktualisierte Version? Eine bloße Ankündigung des Updates reicht nicht. Für die Risikobewertung zählt, dass der korrigierte Stand tatsächlich auf der betroffenen Installation angekommen ist.

Bei Debian und Fedora den Paketstand gesondert prüfen

Das Advisory nennt neben den WordPress-⁠Core-⁠Versionen auch Debian Linux und Fedora Linux als betroffene Produkte. Bei Installationen, die WordPress über Pakete der Linux-⁠Distribution beziehen, ist deshalb der Paketstand maßgeblich. Spielen Sie nicht ungeprüft eine separate Core-⁠Version über den Distributionsweg hinweg ein. Gleichen Sie stattdessen den installierten Paketstand mit dem passenden Update Ihrer Distribution ab.

Für Debian wurde das Advisory am 28. September um neue Updates ergänzt; eine Debian-⁠Sicherheitsmeldung ist als Referenz aufgeführt. Für Fedora listet das Advisory ebenfalls Sicherheitsmeldungen. Die konkreten Paketstände unterscheiden sich vom WordPress-⁠Versionsschema. WordPress 7.1.2 ist daher kein Ersatz für die Prüfung, ob ein distributionsverwaltetes System sein vorgesehenes Paketupdate erhalten hat.

Update einspielen und Abschluss dokumentieren

Priorisieren Sie zuerst öffentlich erreichbare Installationen, die noch unterhalb der für ihren Versionszweig genannten Korrektur liegen. Danach sollten auch weniger sichtbare Test-⁠ oder Nebeninstallationen geprüft werden, sofern sie dieselbe WordPress-⁠Installation betreiben. Die aktive Ausnutzung spricht dagegen, die Entscheidung allein von der gefühlten Sichtbarkeit einer Website abhängig zu machen.

Halten Sie für jede betroffene Installation fest, welcher Versions-⁠ oder Paketstand geprüft wurde und ob das Update erfolgreich abgeschlossen ist. So vermeiden Sie, dass eine erledigte Maßnahme nur in einer allgemeinen Wartungsnotiz auftaucht, ohne dass der konkrete Webauftritt bestätigt wurde. Falls ein Update noch aussteht, sollte der Vorgang offenbleiben und einer verantwortlichen Person zugeordnet sein.

Nach dem Update zählt die Bestätigung des korrigierten Stands, nicht die Absicht, ein Update einzuspielen. Prüfen Sie daher für jeden WordPress-⁠Zweig die angegebene Fix-⁠Version beziehungsweise bei distributionsverwalteten Systemen den vorgesehenen Paketstand.

Quellen: CERT-⁠Bund, Advisory WID-⁠SEC-⁠2026-⁠3539: WordPress: Schwachstelle ermöglicht Codeausführung (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-⁠SEC-⁠2026-⁠3539)