WordPress 7.1.2: Kritische Sicherheitslücke bei der Auswahl von Seitenvorlagen geschlossen

WordPress 7.1.2 erschien am 22. September 2026 und schloss eine kritische Sicherheitslücke beim Laden von Seitenvorlagen. Unter bestimmten Voraussetzungen konnte eine Anfrage ohne Anmeldung Code auf dem Server ausführen lassen. Das Update war deshalb auch für Websites wichtig, deren Startseite unauffällig funktionierte. [1]

Einordnung vom 25. Oktober 2026: Diese Meldung beschreibt die Korrektur in 7.1.2. Am 6. Oktober folgte bereits 7.1.3 mit weiteren Sicherheitskorrekturen. Für ein anstehendes Update zählt deshalb die aktuelle offizielle Version, nicht allein die hier behandelte Versionsnummer. [5]

Was die Sicherheitslücke ermöglicht

Ein Theme legt das Aussehen einer WordPress-Website fest. Beim Laden einer Seitenvorlage konnte WordPress unter den im Sicherheitshinweis genannten Bedingungen eine vorhandene PHP-Datei außerhalb der Theme-Ordner einbinden. PHP-Code läuft auf dem Server. Eine solche Fehlleitung konnte deshalb zur Ausführung von Code führen, obwohl keine Anmeldung erfolgt war. Der Sicherheitshinweis trägt die Kennungen CVE-2026-87902 und GHSA-7hp8-65ch-5whp. [2]

Für den beschriebenen Angriff mussten mehrere Bedingungen zusammenkommen: ein bestimmter Ordneraufbau im aktiven Theme und eine geeignete vorhandene PHP-Datei, auf die der Webserver zugreifen konnte. Die Meldung belegt daher keinen bereits erfolgten Angriff auf jede Website. Eine funktionierende Startseite belegt umgekehrt keinen Schutz. Im Versionszweig 7.1 waren 7.1.0 und 7.1.1 betroffen; 7.1.2 enthielt die Korrektur.

Was nach dem Update zu prüfen ist

Vor dem Update braucht es eine Sicherung der Dateien und der Datenbank, aus der sich die Website wiederherstellen lässt. Die offizielle Anleitung beschreibt das Update im Verwaltungsbereich und das manuelle Einspielen der Dateien. [3] Danach sind vier Punkte sinnvoll:

1. Die tatsächlich installierte Version jeder Website festhalten, auch bei Testsystemen und selten besuchten Installationen.
2. Prüfen, ob die aktuelle offizielle Version erfolgreich installiert wurde. Ein eingeschalteter Update-Schalter allein belegt keinen Abschluss.
3. Startseite, normale Seite, Beitrag, Anmeldung und ein wichtiges Formular testen.
4. Fehlermeldungen und fehlgeschlagene Updates einzeln bearbeiten.

Was Prüfsummen verraten

WP-CLI ist ein Werkzeug zur Verwaltung von WordPress über die Kommandozeile. Die folgenden Befehle werden im Verzeichnis der betreffenden WordPress-Installation ausgeführt. Der erste zeigt die installierte Version. Der zweite vergleicht WordPress-Kerndateien mit den von WordPress.org veröffentlichten Prüfsummen. Eine Prüfsumme ist ein aus dem Dateiinhalt berechneter Vergleichswert. Abweichungen zeigen, dass eine geprüfte Datei nicht zur Referenz passt. [4]

wp core version
wp core verify-checksums --include-root

--include-root meldet zusätzlich unerwartete Dateien und Ordner im Hauptverzeichnis. Bei einer falschen Sprach- oder Versionszuordnung können auch unveränderte Dateien abweichen; dafür unterstützt der Befehl --locale und --version. Der Vergleich lädt die Prüfsummen von WordPress.org und verändert keine geprüften Kerndateien. Ein erfolgreicher Vergleich mit einer alten Version macht diese Version nicht aktuell.

Die Kontrolle untersucht weder die gesamte Datenbank noch Benutzerkonten oder vergangene Angriffe. Auch legitime Zusatzdateien können eine Warnung auslösen. Vor einer Löschung ist deshalb zu klären, woher die Datei stammt und wofür die Website die Datei benötigt. Ein passender Prüfsummenvergleich ist kein umfassender Sicherheitsnachweis.