WordPress 7.1.2 stopft kritische Path-Traversal-Lücke, Patchstack meldet Angriffe binnen Stunden

Die Lücke sitzt im WordPress-Kern selbst, nicht in einem Plugin, und lässt sich ohne Login ausnutzen. WordPress hat mit den Versionen 7.1.2, 7.0.6, 6.9.9 und 6.8.10 nachgezogen, dazu gibt es Backports bis zurück auf 4.7.37. Wenige Stunden nach der Freigabe der Updates beobachtete das Sicherheitsteam von Patchstack die ersten Prüfversuche auf verwundbare Installationen, mittlerweile sind daraus echte Angriffsversuche geworden.

Was CVE-2026-87902 ist

Die Schwachstelle wird als Path Traversal geführt, die zum Local File Inclusion wird. Ein Angreifer kann darüber ohne vorherige Authentifizierung lokale PHP-Dateien vom Server einbinden. Wenn Server und aktives Theme bestimmte Voraussetzungen mitbringen, lässt sich daraus laut Patchstack eine Remote Code Execution machen. Patchstack stuft die Lücke mit CVSS 9.2 als kritisch ein.

Verwundbar sind alle WordPress-Versionen von 4.7.0 bis einschließlich 7.1.1. Wer eine ältere Nebenlinie fährt, bekommt einen Backport bis hinunter auf 4.7.37, die aktuelle Hauptlinie schließt mit 7.1.2 ab.

Was Patchstack im Netz sieht

Patchstack beschreibt einen dreistufigen Angriffsverlauf, den die Firma in ihrem Netzwerk aus geschützten Sites beobachtet. In der ersten Stufe klopfen die Angreifer harmlose Kern-Dateien wie wp-links-opml.php ab, um überhaupt zu prüfen, ob eine Installation verwundbar ist. In der zweiten Stufe versuchen sie, die Datei pearcmd.php aus dem PEAR-Paket in mehreren üblichen Pfaden einzubinden, das funktioniert nur, wenn PHPs register_argc_argv aktiv ist. In der dritten Stufe kippt der Angriff über den config-create-Aufruf eigene PHP-Dateien nach /tmp oder /var/tmp, die dann als Einstiegspunkt für weitere Angriffe dienen.

Der Angriffsverkehr auf die verwundbaren Endpunkte ist laut Patchstack seit dem Patchtag um mehr als das Zehnfache gestiegen. Das Zeitfenster zwischen Update-Freigabe und aktiver Ausnutzung war extrem kurz.

Warum das Webdesigner angeht

Wer Kundenseiten auf WordPress betreut, kann sich dieses Fenster nicht offen lassen. Die Lücke sitzt im Kern, greift also unabhängig vom eingesetzten Theme oder Page Builder. Automatische Kern-Updates fangen viele Fälle ab, aber gerade auf Business-Setups sind sie oft bewusst deaktiviert, damit ein Plugin nicht mitten in der Nacht bricht. Genau diese Setups sind jetzt die dankbarsten Ziele.

Auf Shared-Hosts mit vorinstalliertem PEAR-Paket ist die dritte Angriffsstufe besonders realistisch. Wer als Agentur mehrere Kunden auf einem Hoster gebündelt hat, sollte davon ausgehen, dass die Angreifer die gleichen Pfade an mehreren Sites derselben Umgebung durchprobieren.

Was heute konkret zu tun ist

• Auf jeder betreuten WordPress-Site die Version prüfen und mindestens auf 7.1.2, 7.0.6, 6.9.9 oder 6.8.10 heben, je nach Hauptlinie. Wer auf einer älteren Nebenlinie festhängt, spielt den passenden Backport bis 4.7.37 ein.
• Kern-Auto-Updates dort wieder scharf schalten, wo sie ausgehängt wurden, notfalls per Filter allow_minor_auto_core_updates.
• In den Server-Logs nach Zugriffen auf wp-links-opml.php mit ungewöhnlichen Query-Strings, auf pearcmd.php und auf neue PHP-Dateien in /tmp oder /var/tmp suchen.
• Auf dem Host register_argc_argv in der php.ini deaktivieren, sofern nicht zwingend benötigt, das schneidet die pearcmd-Stufe ab.
• Bei Verdacht auf einen erfolgreichen Zugriff die Site aus einem sauberen Backup wiederherstellen, alle Zugänge rotieren und die Datenbank auf neu angelegte Admin-Konten prüfen.

Passend dazu sammelt findflix veraltete und schlecht gewartete WordPress-Seiten in deiner Region, damit du gezielt Wartungs- und Absicherungs-Angebote platzieren kannst, Webdesign-Leads von findflix.