23 unpatchte WordPress-Lücken: Sicherheitsforscher wartet seit August auf Reaktion

Der österreichische Sicherheitsforscher Aria Akhavan (Haikhavan Security) hat am 14. und 15. September 16 WordPress-Sicherheitsadvisories mit den IDs HKV-ADV-2026-002 bis HKV-ADV-2026-028 öffentlich gemacht. Er hatte die Funde nach eigener Angabe bereits im August an Automattic gemeldet, eine Reaktion blieb aus. BornCity spricht in seiner Zusammenfassung sogar von 23, möglicherweise 26 Lücken, weil einzelne Advisories mehrere Findings bündeln.

Der Fund liegt drei Tage nach WordPress 7.1.1, das elf andere Lücken geschlossen hatte. Akhavans Findings sind davon nicht abgedeckt und bleiben nach aktuellem Stand offen.

Was in den Advisories steht

Aus den öffentlichen Kurzfassungen auf haikhavan.com/advisories ergibt sich ein Muster: mehrere kritische Endpoints der Kernanwendung sind betroffen, ein Teil davon auch ohne Login ausnutzbar.

• XML-RPC: Auth-Bypass mit Nutzernamen-Offenlegung (HKV-ADV-2026-026, unauthentifiziert, High) und zusätzlich SSRF über Pingback mit DNS-Rebinding (HKV-ADV-2026-025 und HKV-ADV-2026-005, High).
• REST-Endpoints: SSRF über den URL-Details-Endpoint (Contributor, High), DoS über REST-Arrays und ein Substring-Oracle in der Notes-Paginierung.
• Interactivity API: Stored XSS ab Contributor-Rolle (HKV-ADV-2026-002, High).
• Global Styles und Font Library: zwei CSS-Breakouts mit niedriger Berechtigungsstufe (HKV-ADV-2026-006 und HKV-ADV-2026-007, High).
• Weitere Findings: Trackback-Injection, DoS beim Post-Password-Redirect, Open Redirect im Canonical Redirect, Memory Exhaustion im Block-Parser sowie ein Auth-Bypass-Bündel rund um Legacy-Handler, Kommentare und Login (HKV-ADV-2026-028, High).

Wer besonders exponiert ist

Der Großteil der Advisories mit High-Einstufung setzt entweder gar keinen Login voraus oder nur ein Subscriber-, Contributor- oder Author-Konto. BornCity fasst die Betreiberlage so zusammen: „Wer als Betreiber einer WordPress-Instanz keine fremden Konten für Dritte (z.B. zum Kommentieren oder Verfassen von Blog-Beiträgen) anlegen lässt, sollte bezüglich der Schwachstellen erst einmal ungefährdet sein.“ Das trifft Redaktions- und Multi-Autoren-Sites, Blogs mit offener Kommentarfunktion und Portale mit Nutzerregistrierung härter als klassische Firmenseiten.

Was heute konkret zu tun ist

• Offene Registrierungen prüfen: Einstellungen, Allgemein, Mitgliedschaft. Wer keine Nutzerkonten braucht, deaktiviert die freie Registrierung.
• XML-RPC deaktivieren, wenn keine App darauf angewiesen ist (Jetpack, WP-Mobile-App, Pingback). Alternativ per Firewall (Cloudflare, WAF) einen Block auf xmlrpc.php setzen.
• Bestehende Contributor- und Author-Konten inventarisieren, inaktive löschen, Zwei-Faktor für alle Redakteure erzwingen.
• Pingback und Trackback in Einstellungen, Diskussion abschalten. Beide sind seit Jahren mehr Angriffsfläche als Feature.
• Eine Web-Application-Firewall (Wordfence, All-in-One WP Security, Cloudflare-Regelset) aktiv halten. Sie fängt einen Teil der unauthentifizierten Angriffe ab, solange Automattic nicht patcht.

Wie es weitergeht

Akhavan hat die Advisories vollständig veröffentlicht, aber ohne Proof-of-Concept-Code. Das reduziert die Zeitspanne bis zu einer möglichen Ausnutzung nicht auf Null, denn die betroffenen Endpoints und Auth-Level sind klar benannt. Solange Automattic weder eine offizielle Bestätigung noch einen Zeitplan für Patches liefert, gilt Akhavans Liste als aktuelle 0-Day-Landkarte für WordPress. Wer Kundenseiten betreut, sollte die Punkte oben jetzt umsetzen und die Advisories-Seite in den nächsten Tagen im Blick behalten.

Findflix hilft Webdesignern dabei, veraltete oder ungepatchte WordPress-Instanzen bei lokalen Unternehmen zu finden und in Kundengespräche zu verwandeln, Details im Webdesign-Leads-Ratgeber.