English
Deutsch
PolskiWordPress 7.1.2: Kritische Sicherheitslücke bei der Auswahl von Seitenvorlagen geschlossen
Inhalt
WordPress hat am 22. September 2026 Version 7.1.2 zur Behebung einer als kritisch eingestuften Sicherheitslücke veröffentlicht. Das Projekt empfiehlt die sofortige Aktualisierung und stellt Korrekturen für ältere Zweige bis 4.7 bereit. Diese Rückübertragungen bedeuten keine aktive Unterstützung sämtlicher historischer Versionszweige. [1]
Was der Sicherheitshinweis belegt
CVE-2026-87902 / GHSA-7hp8-65ch-5whp betrifft die Auswahl von Seitenvorlagen. Unter dokumentierten Theme- und Serverbedingungen kann eine Anfrage ohne Anmeldung das Einbinden einer lesbaren PHP-Datei außerhalb der Theme-Verzeichnisse auslösen und dadurch Codeausführung ermöglichen. Im 7.1-Zweig sind 7.1.0 und 7.1.1 betroffen; korrigiert ist 7.1.2. [2]
Remote Code Execution bedeutet, dass ein Angreifer unter Umständen Code auf dem Server ausführen lassen kann. Die genannten Voraussetzungen sind wichtig: Der Hinweis besagt nicht, dass jede Installation bereits kompromittiert wurde. Umgekehrt beweist eine unauffällig funktionierende Startseite nicht, dass das Sicherheitsupdate installiert ist.
Eine kurze betriebliche Prüfung
Vor der Aktualisierung steht eine wiederherstellbare Sicherung von Dateien und Datenbank. Die offizielle Update-Dokumentation beschreibt die Wege über das Dashboard und die manuelle Aktualisierung. [3] Anschließend liefern die tatsächlich installierte Version und Stichproben wichtiger Seiten bessere Nachweise als die bloße Aktivierung automatischer Updates.
- Die installierte Version für jede Installation erfassen, einschließlich Testsystemen und weniger sichtbaren Websites.
- Die passende offizielle Sicherheitsversion einspielen und das Ergebnis festhalten.
- Startseite, normale Seite, Beitrag, Anmeldung und ein wichtiges Formular prüfen.
- Fehlgeschlagene Updates gesondert bearbeiten, statt einen erfolgreichen Abschluss für alle Installationen anzunehmen.
Was eine Prüfsummenkontrolle aussagt
Bei vorhandenem WP-CLI zeigen die folgenden lesenden Befehle die Version und vergleichen Kerndateien mit veröffentlichten Prüfsummen. --include-root meldet zusätzlich unerwartete Elemente im Hauptverzeichnis. [4]
wp core version
wp core verify-checksums --include-rootDas Ergebnis betrifft die durch diese Prüfung erfassten Dateien. Es ersetzt keine umfassende Untersuchung von Plugins, Themes, Datenbankinhalten, Konten oder früheren Aktivitäten. Unerwartete Dateien benötigen eine Bewertung statt automatischer Löschung.
Redaktionsstand: 27. September 2026. Diese Meldung beschreibt die Veröffentlichung und ihren dokumentierten Umfang. Sie behauptet weder einen Angriff auf eine konkrete Website noch bestätigt sie deren Sicherheit.
Fragen und Antworten
Genügt es, wenn automatische Hintergrund-Updates eingeschaltet sind?
Als Erwartung ja, als Nachweis nein. Sicherheitsversionen innerhalb eines Zweigs, wie hier 7.1.2, installiert WordPress seit Version 3.7 standardmäßig selbst. Ob das auf einer bestimmten Installation tatsächlich geschehen ist, hängt aber an Bedingungen, die von außen nicht zu sehen sind:
- Die Konstanten
AUTOMATIC_UPDATER_DISABLEDoderWP_AUTO_UPDATE_COREin derwp-config.phpoder der Filterauto_update_corein einem Plugin können die Aktualisierung abschalten oder beschränken. - Liegt im Installationsverzeichnis oder darüber ein Ordner einer Versionsverwaltung wie
.gitoder.svn, überspringt WordPress die automatische Aktualisierung. - Der Updater braucht Schreibrechte auf die Dateien, ohne nach FTP-Zugangsdaten zu fragen; fehlen sie, unterbleibt das Update.
- Ausgelöst wird es über WP-Cron. Ist
DISABLE_WP_CRONgesetzt und ruft kein Systemdienstwp-cron.phpregelmäßig auf, läuft es gar nicht.
Über das Ergebnis informiert WordPress per E-Mail an die Administrationsadresse. Führt diese in ein Postfach, das niemand liest, bleibt auch ein Fehlschlag unbemerkt. Die tatsächlich installierte Version, für jede Installation festgehalten, ist deshalb der belastbarere Nachweis.
Was bedeutet die Rückübertragung bis 4.7 für eine Installation auf einem älteren Zweig?
Eine solche Installation erhält eine Sicherheitsversion innerhalb ihres eigenen Zweigs und lässt sich damit gegen diese eine Lücke absichern, ohne den Sprung auf 7.1. Mehr nicht: Andere Korrekturen und Arbeiten an der Kompatibilität fließen nicht zwingend zurück, und offiziell gepflegt wird nur die aktuelle Version. Die Rückübertragung verschafft Zeit für das eigentliche Update, sie ersetzt es nicht.
Gibt es eine solche Prüfsummenkontrolle auch für Plugins?
Ja, mit wp plugin verify-checksums --all. Der Befehl vergleicht die Dateien installierter Plugins mit den Prüfsummen, die WordPress.org für die jeweilige Version veröffentlicht.
Seine Grenze ist dieselbe Quelle: Für Plugins, die nicht aus dem Verzeichnis auf WordPress.org stammen, etwa gekaufte oder selbst geschriebene, gibt es dort keine Prüfsummen, und WP-CLI überspringt sie mit einer Warnung. Themes deckt der Befehl nicht ab. Ein sauberes Ergebnis gilt damit nur für die geprüften Plugins; für den Rest bleibt der Vergleich mit einer bekannten, sauberen Kopie.
Passend dazu
