WordPress unter Beschuss: Schwere Sicherheitslücken ermöglichten Angreifern die Übernahme von Websites – Millionen Websites weltweit basieren auf WordPress. Im Sommer 2026 zeigte sich jedoch erneut, welche Folgen eine Sicherheitslücke in einem derart verbreiteten Content-Management-System haben kann. Innerhalb weniger Wochen musste WordPress gleich mehrere Sicherheitsupdates veröffentlichen. Besonders brisant war eine Schwachstelle im Anmeldebereich, über die eine Angriffskette unter bestimmten Voraussetzungen bis zur Ausführung von PHP-Code auf dem Server führen konnte.
Mit WordPress 7.0.3 wurde diese als CVE-2026-64638 geführte Sicherheitslücke geschlossen. Doch damit war die Serie nicht beendet: Nur sechs Tage später erschien bereits WordPress 7.0.4 mit der Behebung einer weiteren Schwachstelle, über die ebenfalls eine Remote Code Execution möglich war.
Bereits WordPress 7.0.2 musste zwei schwere Sicherheitslücken schließen
Die Probleme begannen nicht erst im August. Bereits am 17. Juli 2026 veröffentlichte WordPress die Version 7.0.2 ausdrücklich als Sicherheitsupdate.
Nach Angaben des WordPress-Sicherheitsteams wurden damit ein als kritisch und ein als hoch eingestuftes Sicherheitsproblem behoben. Dazu gehörten eine SQL-Injection-Schwachstelle sowie eine Kombination aus einer Schwachstelle in einer REST-API-Batch-Route und SQL Injection, die bis zur Remote Code Execution führen konnte.
Die Lage wurde offenbar als so ernst eingeschätzt, dass WordPress für betroffene Versionen sogar erzwungene automatische Updates aktivierte.
WordPress 7.0.3 schloss gleich zwölf Sicherheitslücken
Am 6. August folgte WordPress 7.0.3. Dieses Update hatte es in sich: Insgesamt wurden zwölf Sicherheitsprobleme behoben.
Darunter befanden sich mehrere Stored-XSS-Schwachstellen, eine Rechteausweitung in bestimmten Multisite-Konfigurationen, Informationslecks, eine SSRF-Schwachstelle und eine Umgehungsmöglichkeit bei der Bestätigung von E-Mail-Adressen.
Besonders gefährlich war jedoch eine Schwachstelle direkt auf der WordPress-Anmeldeseite.
Sie erhielt die Kennung CVE-2026-64638 und wurde von den Sicherheitsforschern von pwn.ai entdeckt. Die Forscher bezeichneten die daraus entwickelte Angriffskette als „XSS2Shell“.
XSS2Shell: Angriff bereits vor der Anmeldung möglich
Das Beunruhigende an CVE-2026-64638 war, dass für den ersten Schritt des Angriffs kein bestehendes WordPress-Benutzerkonto erforderlich war.
Die Schwachstelle befand sich im Umgang mit Eingaben auf wp-login.php. Unter bestimmten Umständen konnten manipulierte Eingaben dazu führen, dass JavaScript im Kontext der betroffenen WordPress-Website ausgeführt wurde.
Ein Angreifer musste sich dafür zunächst nicht erfolgreich anmelden.
Genau das unterscheidet eine solche Pre-Authentication-Schwachstelle von vielen anderen WordPress-Problemen, bei denen ein Angreifer zunächst Zugangsdaten oder zumindest ein Benutzerkonto mit bestimmten Rechten benötigt.
Von einer manipulierten Anmeldung bis zur Serverübernahme
Eine Cross-Site-Scripting-Schwachstelle allein bedeutet noch nicht automatisch, dass ein Angreifer den gesamten Webserver kontrollieren kann.
Die Sicherheitsforscher konnten CVE-2026-64638 jedoch mit weiteren WordPress-Funktionen zu einer Angriffskette kombinieren. Unter bestimmten Voraussetzungen konnte dabei die Sitzung eines bereits angemeldeten Administrators missbraucht werden.
Die demonstrierte Angriffskette konnte schließlich dazu führen, dass der Angreifer PHP-Dateien auf den Server brachte und dort eigenen Code ausführte.
Damit ist eine Grenze überschritten, die für Betreiber besonders kritisch ist: Der Angriff beschränkt sich dann nicht mehr darauf, Inhalte einer Website zu verändern.
Wer PHP-Code mit den Rechten des Webservers ausführen kann, besitzt potenziell weitreichenden Zugriff auf die WordPress-Installation und deren Daten.
Neue Administratoren und Backdoors können langfristig bestehen bleiben
Ist ein Angreifer erst einmal so weit vorgedrungen, reicht ein einfaches WordPress-Update unter Umständen nicht mehr aus.
Ein Angreifer könnte beispielsweise zusätzliche Benutzerkonten anlegen, Dateien manipulieren oder Hintertüren hinterlassen. Selbst wenn anschließend die ursprüngliche Sicherheitslücke geschlossen wird, kann ein zuvor kompromittiertes System deshalb weiterhin gefährdet sein.
Das ist einer der wichtigsten Punkte für Websitebetreiber:
Ein Sicherheitsupdate verhindert weitere Angriffe über die geschlossene Schwachstelle – es entfernt aber nicht automatisch Schadcode, der möglicherweise bereits vorher auf den Server gelangt ist.
Wer eine Kompromittierung vermutet, sollte daher nicht lediglich WordPress aktualisieren, sondern die gesamte Installation überprüfen.
Sicherheitsforscher sprechen von einer seit Jahren vorhandenen Schwachstelle
Besonders bemerkenswert ist eine weitere Aussage der Entdecker. Nach Angaben von pwn.ai befand sich der zugrunde liegende Fehler bereits seit sehr langer Zeit im WordPress-Code.
Die Sicherheitskorrektur wurde deshalb nicht ausschließlich für WordPress 7.0 bereitgestellt. WordPress kündigte Backports der erforderlichen Korrekturen für ältere noch berücksichtigte Versionszweige bis zurück zu WordPress 4.7 an.
Damit wäre es falsch, die Sicherheitslücke ausschließlich als „WordPress-7.0-Problem“ zu betrachten.
WordPress 7.0 stand zwar zum Zeitpunkt der Entdeckung im Mittelpunkt der aktuellen Versionsreihe, die betroffene Codebasis reichte jedoch wesentlich weiter zurück.
Nur sechs Tage später: WordPress 7.0.4 schließt die nächste RCE-Lücke
Wer nach WordPress 7.0.3 glaubte, zunächst wieder Ruhe zu haben, wurde bereits wenige Tage später eines Besseren belehrt.
Am 12. August veröffentlichte WordPress Version 7.0.4 – erneut ausdrücklich als Sicherheitsupdate.
Dieses Mal ging es um eine andere Schwachstelle. Betroffen waren bestimmte Installationen, auf deren Servern Imagick und Ghostscript verwendet wurden.
Ein Benutzer mit mindestens Autorenrechten konnte unter den entsprechenden Voraussetzungen über den Upload einer manipulierten PostScript-Datei eine Remote Code Execution erreichen.
Die Sicherheitslücke wird als CVE-2026-65640 geführt.
Damit erschienen innerhalb von weniger als vier Wochen drei sicherheitsrelevante WordPress-Versionen:
17. Juli 2026: WordPress 7.0.2 – ein kritisches und ein hoch eingestuftes Sicherheitsproblem
6. August 2026: WordPress 7.0.3 – zwölf Sicherheitskorrekturen einschließlich XSS2Shell
12. August 2026: WordPress 7.0.4 – weitere Remote-Code-Execution-Schwachstelle
Diese ungewöhnliche Häufung zeigt, wie wichtig zeitnahe Sicherheitsupdates bei WordPress inzwischen geworden sind.
WordPress 7.1 enthält die relevanten Sicherheitskorrekturen
Inzwischen ist WordPress 7.1 erschienen. Die für die neue Hauptversion entwickelten Release Candidates wurden bereits während der Sicherheitsupdates entsprechend angepasst. WordPress 7.1 enthält damit die für die zuvor bekannt gewordenen Schwachstellen relevanten Korrekturen.
Für Betreiber bedeutet das allerdings nicht, dass nach einem Update automatisch Entwarnung gegeben werden kann.
Wer seine Installation rechtzeitig aktualisiert hat und keine Hinweise auf einen erfolgreichen Angriff findet, hat zunächst die wichtigste Voraussetzung geschaffen.
Anders sieht es aus, wenn bereits verdächtige Administratoren, unbekannte PHP-Dateien, veränderte Systemdateien, ungewöhnliche Cronjobs, Weiterleitungen oder andere Auffälligkeiten festgestellt wurden.
Was WordPress-Betreiber jetzt überprüfen sollten
Nach dieser Serie schwerer Sicherheitslücken sollten Betreiber ihre Websites nicht ausschließlich auf die angezeigte WordPress-Version kontrollieren.
Zu einer sinnvollen Überprüfung gehören insbesondere die Benutzerkonten und Administratorrechte, WordPress-Core-Dateien, Plugins und Themes sowie ungewöhnliche Dateien innerhalb von wp-content.
Ebenso sollten Datenbankeinträge, geplante Aufgaben, Server- und Access-Logs sowie FTP- beziehungsweise Hosting-Zugänge überprüft werden.
Besondere Aufmerksamkeit verdienen unbekannte Administratoren. Taucht plötzlich ein Administratorkonto auf, das niemand bewusst angelegt hat, ist dies ein ernstes Warnsignal.
In einem solchen Fall sollten außerdem sämtliche relevanten Passwörter und Zugangsdaten geändert werden. Dazu gehören WordPress-Administratoren, Hosting, FTP beziehungsweise SFTP, Datenbankzugänge und gegebenenfalls weitere mit der Website verbundene Dienste.
Ein Backup kann im Ernstfall Gold wert sein
Der Vorfall macht zudem deutlich, wie wichtig externe Backups sind.
Eine Sicherung, die ausschließlich auf demselben Webspace gespeichert wird wie die eigentliche Website, bietet bei einer vollständigen Kompromittierung nur begrenzten Schutz. Angreifer mit entsprechend weitreichendem Serverzugriff könnten theoretisch auch dort gespeicherte Sicherungen manipulieren oder löschen.
Mindestens eine aktuelle Sicherung sollte deshalb außerhalb des produktiven Webservers gespeichert werden.
Im Ernstfall kann eine nachweislich saubere Sicherung die sicherste Grundlage für den Wiederaufbau einer kompromittierten Website sein.
Sicherheitsupdates dürfen nicht aufgeschoben werden
WordPress selbst empfahl bei 7.0.2, 7.0.3 und 7.0.4 jeweils ein sofortiges Update. Bei 7.0.2 ging das Projekt aufgrund der Schwere der Schwachstellen sogar so weit, automatische Sicherheitsupdates für betroffene Installationen zu forcieren.
Das zeigt die Dimension der Situation.
WordPress ist nicht irgendein CMS. Ein erheblicher Teil des Internets basiert auf der Plattform. Entsprechend attraktiv sind Schwachstellen im WordPress-Core für Cyberkriminelle.
Die Ereignisse des Sommers 2026 sind deshalb auch eine deutliche Warnung an Websitebetreiber: Sicherheitsupdates sind keine lästige Wartungsarbeit, die man irgendwann erledigen kann.
Bei kritischen Schwachstellen können wenige Tage – im schlimmsten Fall sogar wenige Stunden – darüber entscheiden, ob eine Website geschützt bleibt oder kompromittiert wird.
Fazit
Die Sicherheitsserie rund um WordPress 7.0 gehört zu den Ereignissen, die Websitebetreiber ernst nehmen sollten. Besonders CVE-2026-64638 zeigt, wie aus einer zunächst unscheinbar wirkenden Schwachstelle auf einer Login-Seite durch die Kombination mehrerer Techniken eine Angriffskette bis hin zur Ausführung von Code auf dem Server entstehen kann.
Mit den inzwischen veröffentlichten Sicherheitsupdates wurden die bekannten Schwachstellen geschlossen. Betreiber sollten sich darauf jedoch nicht blind verlassen.
Wer möglicherweise bereits vor dem Update angegriffen wurde, muss davon ausgehen, dass ein Update alleineine kompromittierte Installation nicht wieder sauber macht.
Kontrolle der Administratoren, Prüfung der Dateien und Datenbank, Änderung wichtiger Zugangsdaten sowie externe Backups gehören deshalb zu den wichtigsten Konsequenzen aus den WordPress-Sicherheitsproblemen des Sommers 2026. (hk)
Quellen: WordPress.org, pwn.ai, WordPress Security Team
Die Redaktion übernimmt keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der veröffentlichten Informationen. Beiträge, die von Dritten, wie z. B. Polizei, Feuerwehr, Vereinen oder Unternehmen bereitgestellt werden, liegen in der Verantwortung der jeweiligen Herausgeber. Jegliche Inhalte, einschließlich Hyperlinks auf externe Seiten, wurden sorgfältig geprüft, dennoch übernehmen wir keine Verantwortung für die Inhalte externer Seiten, auf die im Beitrag direkt oder indirekt verwiesen wird.
Alle Rechte an den Texten und Beiträgen sind vorbehalten. Das Teilen unserer Inhalte in sozialen Medien ist ausdrücklich gestattet, solange die Quelle angegeben wird. Die Vervielfältigung, Verbreitung oder sonstige kommerzielle Nutzung – auch auszugsweise – bedarf jedoch der schriftlichen Zustimmung der Redaktion.
