Innerhalb weniger Tage hat WordPress zwei Sicherheitsupdates veröffentlicht. Version 7.1.1 schließt die Angriffskette Click2Shell, über die sich mit einem einzigen Klick Schadcode auf einer Website ausführen lässt. Kurz darauf folgte Version 7.1.2 mit der Korrektur einer kritischen Lücke, die sogar ganz ohne Anmeldung ausnutzbar ist. Wer gerade erst auf 7.1.1 aktualisiert hat, muss also noch einmal ran. Ziel ist 7.1.2 oder der gepatchte Stand des jeweiligen Versionszweigs. Anzeichen für Angriffe gibt es bislang für keine der beiden Lücken.

Was ist passiert

Am 17. September 2026 haben die WordPress-Entwickler die Version 7.1.1 als kombiniertes Sicherheits- und Wartungsupdate veröffentlicht, mit elf Sicherheitskorrekturen, 17 Fehlerbehebungen im Core und 19 im Block-Editor. Eine dieser Korrekturen schließt die Kette Click2Shell. Nur fünf Tage später, am 22. September 2026, schob das Team WordPress 7.1.2 nach, diesmal ein reines Sicherheitsrelease gegen eine einzelne, als kritisch eingestufte Schwachstelle.

Click2Shell in WordPress 7.1.1

Das Forschungsteam pwn.ai um Paulos Yibelo hat die Kette am 18. September 2026 offengelegt, gemeldet hatte es sie WordPress bereits am 22. August. Click2Shell beginnt mit einem präparierten Link, den ein angemeldeter Administrator mit aktiver Sitzung öffnet. Der Theme-Installer von WordPress nimmt Adressen der Form theme-install.php?theme=<name> entgegen. Der übergebene Wert wird jedoch von zwei Code-Teilen unterschiedlich interpretiert, sodass ein manipulierter Link WordPress dazu bringt, im Namen des Administrators ein beliebiges Theme aus dem offiziellen Verzeichnis zu installieren und in der Vorschau zu laden. Das installierte Theme bleibt inaktiv, an der Website ändert sich äußerlich nichts, und es erscheint kein Bestätigungsdialog.

Für sich genommen ist das eine erzwungene Theme-Installation, die pwn.ai als hoch mit einem CVSS-Wert von 7.1 einstuft. Verkettet mit einer zweiten, unsicheren Stelle im Code eines Themes, die schon vor dessen Aktivierung ausgeführt wird, lässt sich daraus die Ausführung von PHP-Code auf dem Server bauen. Diese vollständige Kette gilt als kritisch. Ein eigenes Konto beim Ziel braucht der Angreifer nicht, es genügt, dass ein Administrator den Link öffnet. WordPress hat die Lücke in 7.1.1 behoben, indem es den Theme-Namen vor der Weiterverarbeitung absichert. Eine CVE-Kennung war zum Zeitpunkt der Offenlegung noch nicht vergeben.

Kritische Lücke in WordPress 7.1.2

Die zweite Lücke wiegt schwerer. Sie wird unter CVE-2026-87902 geführt, erreicht einen CVSS-Wert von 9.2 und gilt als kritisch. Ursache ist eine unzureichende Prüfung von Dateinamen (CWE-98). Bei der Auflösung von Seitenvorlagen über die Funktion get_page_template() kann ein Angreifer erreichen, dass WordPress beliebige lesbare .php-Dateien außerhalb des vorgesehenen Verzeichnisses einbindet. Unter bestimmten Bedingungen führt das zur Ausführung von fremdem Code auf dem Server. Entscheidend ist, dass die Lücke keine Anmeldung voraussetzt. Genau deshalb rät WordPress zur sofortigen Aktualisierung.

Aufgedeckt und gemeldet hat die Schwachstelle ein Schweizer Sicherheitsforscher. Der Fix steckt in einer einzigen Datei des Cores. Weil das Problem bis in sehr alte Versionen zurückreicht, hat WordPress Korrekturen für alle noch gepflegten Versionszweige bis zurück zu 4.7 als Backport bereitgestellt, etwa 7.0.6 für den 7.0-Zweig.

Wer ist betroffen

Betroffen ist grundsätzlich jede WordPress-Installation unterhalb von 7.1.2 beziehungsweise unterhalb des gepatchten Stands des jeweiligen Zweigs. Da die in 7.1.2 geschlossene Lücke ohne Anmeldung ausnutzbar ist und WordPress als eines der meistgenutzten Content-Management-Systeme weit verbreitet ist, ist sie die dringlichere der beiden. Sind automatische Updates aktiviert, sollte der Fix bereits eingespielt sein, das lässt sich aber nicht immer voraussetzen.