Kritische Sicherheitslücke in WordPress 7.1: Warum du jetzt sofort updaten solltest

Was steckt hinter CVE-2026-87902?

Die Schwachstelle trägt die Kennung CVE-2026-87902 und wurde mit einem CVSS-Score von 9.2 als kritisch eingestuft. Entdeckt wurde sie vom Schweizer Sicherheitsforscher Robert Ressi, der das Problem verantwortungsvoll an das WordPress-Sicherheitsteam gemeldet hat.

Technisch handelt es sich um eine sogenannte Local File Inclusion (LFI), die in die Kategorie CWE-98 fällt – also eine unsachgemäße Kontrolle von Dateinamen bei Include-Anweisungen. Konkret betrifft die Lücke die Funktion get_page_template(), die WordPress nutzt, um die korrekte Template-Datei für eine aufgerufene Seite zu laden. Ein Angreifer kann den Mechanismus so manipulieren, dass neben der eigentlich vorgesehenen Vorlage auch beliebige andere .php-Dateien auf dem Server eingebunden und ausgeführt werden – und zwar Dateien, die außerhalb des zuständigen Template-Verzeichnisses liegen.

Das Ergebnis: eine Remote Code Execution (RCE). Der Angreifer kann dadurch potenziell die vollständige Kontrolle über deine WordPress-Installation übernehmen, Daten auslesen, Schadcode einschleusen oder deinen Server als Teil eines Botnetzes missbrauchen.

Bin ich betroffen?

Die Lücke ist an eine bestimmte Voraussetzung geknüpft: Das oberste Verzeichnis, in dem dein aktives Theme liegt, muss mit dem Präfix page- beginnen. Das klingt zunächst nach einer Einschränkung, betrifft in der Praxis aber eine überraschend große Zahl von Installationen. Unter anderem verwenden die WordPress-eigenen Standard-Themes der Serien Twenty Twelve und Twenty Fourteen diese Namenskonvention. Auch zahlreiche populäre Third-Party-Themes nutzen Verzeichnisstrukturen, die mit page- beginnen.

Hinzu kommt, dass Angreifer den Speicherort und Dateinamen vorhandener .php-Dateien auf gängigen WordPress-Installationen in der Regel zuverlässig erraten können. Typische Pfade wie die von Plugins, wp-config.php oder anderen Core-Dateien sind allgemein bekannt. Das senkt die Hürde für einen erfolgreichen Angriff erheblich.

Schnell-Check: Bist du gefährdet?

Diese Maßnahmen solltest du jetzt ergreifen

Die wichtigste Handlung ist offensichtlich: Update auf WordPress 7.1.2 – und zwar sofort. Wenn du automatische Updates für Minor-Releases aktiviert hast, wurde der Patch möglicherweise bereits eingespielt. Prüfe das im Backend unter Dashboard → Aktualisierungen. Falls das Update noch aussteht, starte es manuell.

Betreibst du eine ältere WordPress-Version, die offiziell noch mit Sicherheitspatches versorgt wird, kannst du auf den angekündigten Backport warten. Das WordPress-Team hat bestätigt, dass der Fix für alle Versionen ab 4.7 zurückportiert wird. Die Arbeiten daran laufen bereits. Nutzt du eine Version unterhalb von 4.7, gibt es allerdings keinen geplanten Patch – ein vollständiges Upgrade ist dann die einzige sichere Option.

Zusätzliche Härtungsmaßnahmen

Neben dem Update selbst solltest du diese Gelegenheit nutzen, um die Sicherheit deiner WordPress-Umgebung grundsätzlich zu überprüfen. Stelle sicher, dass dein Webserver so konfiguriert ist, dass PHP-Dateien außerhalb des WordPress-Stammverzeichnisses nicht über Web-Requests erreichbar sind. Eine restriktive open_basedir-Konfiguration auf PHP-Ebene begrenzt den Zugriff auf Dateien und kann die Auswirkungen von File-Inclusion-Angriffen deutlich reduzieren.

Prüfe außerdem, ob du wirklich nur die Themes und Plugins installiert hast, die du aktiv nutzt. Jede zusätzliche .php-Datei auf deinem Server ist ein potenzielles Ziel für Angriffe dieser Art. Deaktivierte, aber nicht gelöschte Themes vergrößern deine Angriffsfläche unnötig.

Warum solche Lücken ein grundsätzliches Hosting-Thema sind

Schwachstellen wie CVE-2026-87902 zeigen, dass WordPress-Sicherheit nicht allein auf Applikationsebene gelöst werden kann. Dein Hosting-Umfeld spielt eine entscheidende Rolle. Ein professionell konfigurierter Server mit aktuellen PHP-Versionen, restriktiven Dateiberechtigungen und einer sauberen Isolierung einzelner Kundenumgebungen kann den Unterschied machen zwischen einem erfolgreichen Angriff und einem, der ins Leere läuft.

Gerade wenn du als Freelancer oder kleine Agentur mehrere Kundenprojekte auf einem Hosting-Account betreibst, hat eine Kompromittierung einer einzelnen Installation potenziell Auswirkungen auf alle Projekte. Hier lohnt es sich, auf ein Webhosting zu setzen, das dir serverseitige Sicherheitsfeatures wie automatische PHP-Updates, Web Application Firewalls und isolierte Laufzeitumgebungen bietet. Bei checkdomain findest du Hosting-Pakete, die genau auf solche Anforderungen ausgelegt sind und dir den administrativen Aufwand für die Absicherung deiner Infrastruktur abnehmen.

WordPress-Projekte professionell aufsetzen und absichern

Dieser Vorfall ist auch ein guter Anlass, die eigene Projektstruktur zu hinterfragen. Wenn du Kundenseiten mit WordPress realisierst, solltest du von Anfang an auf eine solide Basis setzen: eine eigene Domain mit HTTPS, ein leistungsfähiges Hosting mit ausreichend Ressourcen für zeitnahe Updates und regelmäßige Backups sowie eine professionelle E-Mail-Adresse, über die du im Ernstfall schnell und vertrauenswürdig mit deinen Kunden kommunizieren kannst.

Für Kunden, die keine eigene WordPress-Installation verwalten möchten, kann die Website-Erstellung über einen Baukasten eine sicherere Alternative sein. Hier übernimmt der Anbieter die technische Wartung, sodass Sicherheitslücken wie die aktuelle gar nicht erst zum Problem werden.

Und wenn du bereits ein laufendes WordPress-Projekt betreust, das durch Ausfallzeiten oder Sicherheitsvorfälle an Sichtbarkeit verloren hat, können die SEO-Dienstleistungen und SEA-Dienstleistungen von checkdomain dir helfen, verlorene Rankings wieder aufzubauen und deine Webpräsenz nachhaltig zu stärken.

Fazit: Nicht abwarten, jetzt handeln

Eine kritische Sicherheitslücke mit einem CVSS-Score von 9.2 ist kein Szenario, bei dem du abwarten solltest. Prüfe jetzt, ob deine WordPress-Installation auf Version 7.1.2 aktualisiert ist, entferne nicht benötigte Themes und Plugins und stelle sicher, dass deine Hosting-Umgebung serverseitig gehärtet ist. Die Kombination aus schnellem Patching und einem professionellen Hosting-Setup ist dein bester Schutz gegen Angriffe dieser Art.