Kritische WordPress Core Sicherheitslücke CVE-2026-87902 kann zu Remote Code Execution führen

Die WordPress Core Sicherheitslücke CVE-2026-87902 ermöglicht es einem nicht authentifizierten Angreifer unter bestimmten Bedingungen, WordPress dazu zu bringen, eine ausgewählte lesbare lokale PHP-Datei außerhalb der Verzeichnisse des aktiven Themes einzubinden. Sind zusätzliche Voraussetzungen im aktiven Theme und in der Serverumgebung erfüllt, kann die Schwachstelle zu Remote Code Execution (RCE) führen. WordPress hat am 22. September 2026 die Version 7.1.2 veröffentlicht und empfiehlt, Websites sofort zu aktualisieren.

Die WordPress Core Sicherheitslücke ist besonders relevant, weil sie WordPress selbst betrifft und kein WordPress-Benutzerkonto erforderlich ist. Patchstack hat zudem weniger als fünf Stunden nach Veröffentlichung des Sicherheitsupdates bereits aktive Scans nach verwundbaren Websites beobachtet. Bei den bisher beobachteten Aktivitäten handelt es sich jedoch um Probing beziehungsweise Reconnaissance und nicht um bestätigte erfolgreiche Remote-Code-Execution-Angriffe.

Was ist die WordPress Core Sicherheitslücke CVE-2026-87902?

CVE-2026-87902 ist eine nicht authentifizierte Path-Traversal-Schwachstelle in der Auflösung von Seitentemplates in WordPress. Unter den erforderlichen Bedingungen kann ein Angreifer die Template-Auflösung beeinflussen und WordPress dazu bringen, eine lesbare lokale PHP-Datei außerhalb der Verzeichnisse des aktiven Themes einzubinden.

WordPress stuft die Sicherheitslücke als kritisch ein. Patchstack klassifiziert das Problem als Path Traversal, das zu Local File Inclusion (LFI) und unter bestimmten Voraussetzungen zu Remote Code Execution führen kann. Patchstack gibt einen CVSS-4.0-Score von 9,2 an.

• CVE: CVE-2026-87902
• Software: WordPress Core
• Schwachstelle: Path Traversal / Local File Inclusion
• Mögliche Auswirkung: Remote Code Execution unter bestimmten Voraussetzungen
• CVSS: 9,2 / Critical
• Authentifizierung erforderlich: Nein
• Benutzerinteraktion erforderlich: Nein

Betroffene und sichere WordPress-Versionen

CVE-2026-87902 betrifft WordPress-Versionen von 4.7.0 bis einschließlich 7.1.1.

Für die aktuelle WordPress-7.1-Version wurde die Sicherheitslücke mit WordPress 7.1.2 behoben. WordPress hat den Fix außerdem auf ältere betroffene Versionszweige zurückportiert, die noch Sicherheitsupdates erhalten.

• WordPress 7.1: Update auf 7.1.2
• WordPress 7.0: Update auf 7.0.6
• WordPress 6.9: Update auf 6.9.9
• WordPress 6.8: Update auf 6.8.10
• WordPress 6.7: Update auf 6.7.9
• WordPress 6.6: Update auf 6.6.9
• WordPress 6.5: Update auf 6.5.12
• WordPress 6.4: Update auf 6.4.12
• WordPress 6.3: Update auf 6.3.12
• WordPress 6.2: Update auf 6.2.13
• WordPress 6.1: Update auf 6.1.14
• WordPress 6.0: Update auf 6.0.16
• WordPress 5.9: Update auf 5.9.18
• WordPress 5.8: Update auf 5.8.17
• WordPress 5.7: Update auf 5.7.19
• WordPress 5.6: Update auf 5.6.21
• WordPress 5.5: Update auf 5.5.22
• WordPress 5.4: Update auf 5.4.23
• WordPress 5.3: Update auf 5.3.25
• WordPress 5.2: Update auf 5.2.28
• WordPress 5.1: Update auf 5.1.26
• WordPress 5.0: Update auf 5.0.29
• WordPress 4.9: Update auf 4.9.33
• WordPress 4.8: Update auf 4.8.32
• WordPress 4.7: Update auf 4.7.37

WordPress 4.6 und ältere Versionen erhalten keine Sicherheitsupdates mehr. Vservs empfiehlt daher, nach Möglichkeit die aktuelle unterstützte WordPress-Version einzusetzen, anstatt dauerhaft auf einem alten Versionszweig zu bleiben.

Wann kann CVE-2026-87902 zu Remote Code Execution führen?

Die technische Auswirkung muss genau eingeordnet werden. Eine verwundbare WordPress-Version bedeutet nicht automatisch, dass ein Angreifer unmittelbar beliebigen PHP-Code ausführen kann.

Die zugrunde liegende Schwachstelle ermöglicht es einem Angreifer, die Auflösung von Seitentemplates zu beeinflussen und eine lesbare lokale PHP-Datei außerhalb der Verzeichnisse des aktiven Themes einzubinden. Um diese Local-File-Inclusion-Möglichkeit bis zur Ausführung beliebigen Codes zu erweitern, müssen zusätzliche Voraussetzungen im aktiven Theme und in der Serverumgebung erfüllt sein.

Eine relevante Voraussetzung betrifft die Struktur des aktiven Parent- oder Child-Themes. Für den verwundbaren Template-Pfad muss eine geeignete Verzeichnisstruktur vorhanden sein, beispielsweise ein Verzeichnis, dessen Name mit page- beginnt.

Für bekannte Techniken, mit denen die Dateieinbindung bis zur Ausführung beliebigen Codes erweitert werden kann, muss außerdem eine geeignete und für den Webserver lesbare PHP-Datei auf dem Server vorhanden sein. Eine von Sicherheitsforschern beschriebene Möglichkeit nutzt PHP-PEAR-Komponenten in Verbindung mit der PHP-Einstellung register_argc_argv.

CVE-2026-87902 sollte deshalb technisch als nicht authentifizierte Local-File-Inclusion-Schwachstelle mit bedingter Remote Code Execution betrachtet werden. Nicht jede verwundbare WordPress-Installation ermöglicht automatisch eine vollständige RCE.

Aktive Scans nach verwundbaren WordPress-Websites beobachtet

Angreifer haben sehr schnell auf die Veröffentlichung des WordPress-Sicherheitsupdates reagiert.

Patchstack meldet, dass die ersten Probing-Versuche für CVE-2026-87902 am 22. September 2026 um 17:44 UTC beobachtet wurden. Dies war weniger als fünf Stunden nach der Veröffentlichung von WordPress 7.1.2.

Die beobachteten Requests verwenden die Encoding- und Request-Struktur, die mit dem verwundbaren Template-Pfad zusammenhängt. Dies deutet darauf hin, dass externe Akteure den veröffentlichten WordPress-Patch analysiert und anschließend begonnen haben, öffentlich erreichbare WordPress-Websites automatisiert auf die Schwachstelle zu testen.

Aktives Probing ist nicht mit einer bestätigten erfolgreichen Remote Code Execution gleichzusetzen. Patchstack berichtet, dass die bisher beobachteten Requests gewöhnliche WordPress-Core-Dateien als Ziel der Dateieinbindung verwenden.

Diese Requests können feststellen, ob eine Website für die Schwachstelle anfällig ist, führen aber nicht automatisch zur Ausführung von durch einen Angreifer kontrolliertem Code.

Zum Zeitpunkt dieser Veröffentlichung hat Patchstack noch keine nächste Angriffsstufe beobachtet, bei der die Local-File-Inclusion-Möglichkeit gegen ein Ziel eingesetzt wird, das tatsächlich beliebigen Code ausführen kann.

Was sollten WordPress-Administratoren jetzt tun?

Da CVE-2026-87902 WordPress Core betrifft, keine Authentifizierung benötigt und bereits aktiv nach verwundbaren Websites gesucht wird, empfiehlt Vservs, das Sicherheitsupdate ohne Verzögerung zu installieren.

• WordPress auf 7.1.2 oder die gepatchte Version des aktuell verwendeten WordPress-Zweigs aktualisieren.
• Kontrollieren, ob automatische WordPress-Core-Updates erfolgreich durchgeführt wurden.
• Vor dem Update bei Bedarf eine aktuelle Sicherung der Website und Datenbank erstellen.
• Nach dem Update prüfen, ob Website und aktives Theme weiterhin korrekt funktionieren.
• Veraltete Parent- und Child-Themes kontrollieren und nicht mehr verwendete Themes entfernen.
• Änderungen an Theme- oder PHP-Konfigurationen nicht als Ersatz für das WordPress-Sicherheitsupdate betrachten.
• Nicht länger als notwendig auf veralteten WordPress-Versionen bleiben, auch wenn dafür noch ein Security-Backport verfügbar ist.

Auf Probing und mögliche Kompromittierung prüfen

Websites, die nach Bekanntwerden der Sicherheitslücke noch eine verwundbare WordPress-Version verwendet haben, sollten ihre Logs auf Aktivitäten im Zusammenhang mit CVE-2026-87902 überprüfen.

Patchstack nennt mehrere Indikatoren, die für die derzeit beobachteten Scans besonders relevant sind:

• Requests mit einem pagename-Parameter, der doppelt codierte Traversal-Sequenzen wie %252e%252e enthält;
• ungewöhnliche Requests, bei denen pagename und page_id gemeinsam verwendet werden;
• GET- und POST-Requests prüfen, da beide Methoden bei den Scans beobachtet wurden;
• Requests auf die Startseite sowie direkt auf /index.php untersuchen;
• ungewöhnliche Versuche prüfen, WordPress-Core-PHP-Dateien über normale Seitenaufrufe einzubinden;
• nach unerwarteten PHP-Dateien in WordPress-, Upload- oder temporären Verzeichnissen suchen;
• WordPress-Core-Dateien auf Änderungen prüfen, die nicht zu einem offiziellen WordPress-Update gehören;
• unbekannte WordPress-Administratorkonten und unerwartete Änderungen an Plugins oder Themes kontrollieren;
• unbekannte geplante Aufgaben, Cronjobs und unerwartete ausgehende Netzwerkverbindungen untersuchen.

Ein Probe-Request im Access-Log bedeutet nicht automatisch, dass die Website kompromittiert wurde. Er zeigt zunächst lediglich, dass ein externer Akteur versucht hat festzustellen, ob der verwundbare Codepfad erreichbar ist.

Wenn ein verdächtiger Request jedoch unerwartete Inhalte einer lokalen PHP-Datei zurückgegeben hat, sollte die Website genauer untersucht werden, da die Local-File-Inclusion-Funktion in diesem Fall möglicherweise erfolgreich erreicht wurde.

Warum diese WordPress Core Sicherheitslücke besondere Aufmerksamkeit verdient

Viele schwerwiegende WordPress-Sicherheitslücken betreffen einzelne Plugins oder Themes. CVE-2026-87902 unterscheidet sich davon, weil sich die verwundbare Funktion direkt in WordPress Core befindet.

Die potenziell betroffene Installationsbasis ist dadurch sehr groß. Für den Zugriff auf die verwundbare Funktion ist kein WordPress-Benutzerkonto erforderlich und automatisierte Scans wurden bereits wenige Stunden nach Veröffentlichung des Sicherheitsupdates beobachtet.

Auch Websites, deren aktuelle Theme- oder Serverkonfiguration die derzeit bekannte RCE-Angriffskette verhindert, sollten aktualisiert werden. Der Patch behebt die zugrunde liegende Path-Traversal- und Local-File-Inclusion-Schwachstelle und nicht nur eine bestimmte Methode zur Remote Code Execution.

Vservs Managed WordPress und Managed VPS

Vservs überwacht Sicherheitsprobleme in WordPress Core, Plugins, Themes und den zugrunde liegenden Serverkomponenten. Bei Vservs Managed WordPress übernehmen wir unter anderem Sicherheitsupdates, Hardening, Monitoring, Malware-Kontrollen, Backups und die technische Verwaltung von WordPress.

Für Websites und Anwendungen, die eine eigene isolierte Serverumgebung benötigen, bietet Vservs außerdem Managed VPS. Dazu gehören unter anderem die technische Serververwaltung, relevante Betriebssystem- und Sicherheitsupdates, Monitoring und Server-Hardening.

Bei Unmanaged Hosting und Unmanaged VPS-Servern bleibt die Kontrolle und Installation von WordPress-, Plugin-, Theme- und Server-Sicherheitsupdates in der Verantwortung des Administrators.

Fazit

Die WordPress Core Sicherheitslücke CVE-2026-87902 ist eine kritische, nicht authentifizierte Path-Traversal- und Local-File-Inclusion-Schwachstelle. Unter bestimmten Voraussetzungen im aktiven Theme und in der Serverumgebung kann sie zu Remote Code Execution führen.

WordPress hat am 22. September 2026 Version 7.1.2 veröffentlicht und empfiehlt, Websites sofort zu aktualisieren. Sicherheitsupdates wurden außerdem auf die betroffenen älteren WordPress-Zweige zurückportiert.

Patchstack beobachtete weniger als fünf Stunden nach Veröffentlichung des Sicherheitsupdates bereits aktive Scans nach CVE-2026-87902. Zum Zeitpunkt dieser Veröffentlichung bestätigen diese Beobachtungen Reconnaissance gegen verwundbare Websites, jedoch noch keine erfolgreiche Remote Code Execution oder Kompromittierung.

Vservs empfiehlt daher, WordPress sofort auf Version 7.1.2 oder die gepatchte Version des aktuell verwendeten Versionszweigs zu aktualisieren.

Quellen

• WordPress.org – WordPress 7.1.2 Security Release, 22. September 2026
• WordPress.org Documentation – WordPress Version 7.1.2 und Security-Backports
• Patchstack – CVE-2026-87902: WordPress Path Traversal zu Local File Inclusion und bedingter RCE
• Patchstack – CVE-2026-87902: aktive Probing-Aktivitäten nach Veröffentlichung des Sicherheitsupdates