W3 Total Cache Sicherheitslücke CVE-2026-87920: Neues XSS-Problem betrifft mehr als 900.000 WordPress-Websites
Die W3 Total Cache Sicherheitslücke CVE-2026-87920 ermöglicht es einem nicht angemeldeten Angreifer, schädlichen JavaScript-Code zu speichern, der anschließend in den Browsern von Website-Besuchern ausgeführt werden kann. Die Schwachstelle hat einen CVSS-Score von 7,2 und wird als High eingestuft. Betroffen sind W3 Total Cache-Versionen bis einschließlich 2.10.6. Die Sicherheitskorrektur ist in Version 2.10.7 enthalten.
W3 Total Cache ist auf mehr als 900.000 WordPress-Websites aktiv und gehört damit zu den am häufigsten eingesetzten Caching- und Performance-Plugins für WordPress.
Die Ausnutzbarkeit ist von der Konfiguration abhängig: Laut Wordfence muss die W3-Total-Cache-Option Remove query strings from static resources aktiviert sein.
Was ist die W3 Total Cache Sicherheitslücke CVE-2026-87920?
CVE-2026-87920 ist eine Stored-Cross-Site-Scripting-Schwachstelle in der Verarbeitung von HTML durch W3 Total Cache beim Entfernen von Querystrings aus statischen Ressourcen.
Das Plugin kann URLs im erzeugten HTML umschreiben, um Queryparameter von Ressourcen wie JavaScript- und CSS-Dateien zu entfernen.
In verwundbaren Versionen kann speziell präparierter HTML-Inhalt während dieses Vorgangs fehlerhaft verarbeitet werden. Dadurch kann ein vom Angreifer kontrollierter Wert seinen vorgesehenen HTML-Kontext verlassen.
Der eingeschleuste JavaScript-Code kann anschließend Bestandteil der erzeugten oder gecachten Seite werden und ausgeführt werden, wenn ein anderer Benutzer diese Seite besucht.
Welche W3 Total Cache-Versionen sind verwundbar?
- W3 Total Cache 2.10.6 und älter – verwundbar
- W3 Total Cache 2.10.7 oder neuer – gegen CVE-2026-87920 gepatcht
WordPress.org führt derzeit Version 2.10.7. Der Changelog enthält eine Sicherheitskorrektur für die Browser-Cache-Funktion, bei der das Umschreiben nicht in Anführungszeichen gesetzter URLs beim Entfernen von Querystrings eingeschränkt wurde.
Administratoren sollten auf Version 2.10.7 oder eine neuere verfügbare Version aktualisieren.
Kein WordPress-Login erforderlich
Laut Wordfence kann die dokumentierte Angriffskette ohne authentifiziertes WordPress-Konto erreicht werden.
Ein Angreifer kann schädliche Eingaben potenziell über die WordPress-Kommentarfunktion speichern, wenn Kommentare auf der betroffenen Website möglich sind.
Damit ist die Schwachstelle insbesondere für Websites relevant, die Kommentare oder andere öffentlich zugängliche benutzergenerierte Inhalte akzeptieren.
Bestimmte W3 Total Cache-Einstellung erforderlich
Die W3 Total Cache Sicherheitslücke ist über die dokumentierte Angriffskette nicht auf jeder Installation ausnutzbar.
Laut Wordfence muss folgende Option aktiviert sein:
Remove query strings from static resources
Diese Funktion schreibt URLs von Ressourcen in der HTML-Ausgabe um. Das verwundbare Verhalten tritt während dieses Umschreibprozesses auf.
Websites, auf denen die Option deaktiviert war, sind über diesen spezifischen Angriffsweg nicht verwundbar. Trotzdem sollten alle Installationen mit W3 Total Cache 2.10.6 oder älter aktualisiert werden.
Was bedeutet Stored Cross-Site Scripting?
Stored Cross-Site Scripting bedeutet, dass vom Angreifer kontrollierter JavaScript-Code von der Website gespeichert und später an andere Benutzer ausgeliefert wird.
Dies unterscheidet sich von Reflected XSS, bei dem der schädliche Payload normalerweise in jedem einzelnen Request enthalten sein muss. Ein gespeicherter Payload kann dagegen vorhanden bleiben, bis der betreffende Inhalt entfernt oder bereinigt wird.