Security · 22.9.2026
Ein kritischer Fehler im Core von WordPress erlaubt es Angreifern ohne Account, PHP-Dateien außerhalb des Theme-Ordners zu laden und unter Umständen Schadcode auszuführen.
Die Entwickler von WordPress haben eine kritische Sicherheitslücke im Kernsystem der beliebten Content-Management-Software geschlossen. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, das System dazu zu bringen, PHP-Dateien außerhalb der regulären Theme-Verzeichnisse zu laden. Unter bestimmten Serverkonfigurationen kann dies bis zur vollständigen Ausführung von beliebigem Schadcode (Remote Code Execution) führen.
WordPress ist das weltweit am häufigsten genutzte Content-Management-System (CMS) und bildet auch in der DACH-Region das Fundament für unzählige Unternehmenswebsites, Portale und Blogs. Da für das Ausnutzen dieser Schwachstelle kein registriertes Benutzerkonto erforderlich ist, stellt die Lücke ein erhebliches Sicherheitsrisiko dar. Angreifer können potenziell die Kontrolle über den Webserver erlangen, sensible Kundendaten abgreifen oder die Website für Drive-by-Downloads und Phishing-Kampagnen missbrauchen. Besonders für Unternehmen, die strenge Compliance-Vorgaben einhalten müssen, ist das Risiko eines Reputationsschadens und des Datenverlusts hoch.
IT-Verantwortliche und Administratoren sollten unverzüglich handeln, um die Sicherheit ihrer Webpräsenzen zu gewährleisten. Folgende Maßnahmen werden dringend empfohlen:
Diese Schwachstelle verdeutlicht erneut, wie wichtig ein proaktives Patch-Management für CMS-Infrastrukturen ist. Da WordPress-Installationen ein primäres Ziel für automatisierte Angriffe darstellen, schützt nur eine zeitnahe Aktualisierung vor schwerwiegenden Kompromittierungen des Webservers.
Quelle: The Hacker News