WordPress: Mehrere Schwachstellen
WID-SEC-2026-3472 · erstmals 21.09.2026 · aktualisiert 29.09.2026 · CVSS 8,8
Worum es geht
WordPress ist ein PHP basiertes Open Source Blog-System. Ein Angreifer kann mehrere Schwachstellen in WordPress ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren und offenzulegen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Programmcode auszuführen
- Sicherheitsmaßnahmen zu umgehen
- Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren
- offenzulegen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Open Source WordPress <7.1.1
- Open Source WordPress <7.0.5
- Open Source WordPress <6.9.8
- Open Source WordPress <6.8.9
- Open Source WordPress <6.7.8
- Open Source WordPress <6.6.8
- Open Source WordPress <6.5.11
- Open Source WordPress <6.4.11
- Open Source WordPress <6.3.11
- Open Source WordPress <6.2.12
- Open Source WordPress <6.1.13
und 14 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source WordPress 7.1.1
- Open Source WordPress 7.0.5
- Open Source WordPress 6.9.8
- Open Source WordPress 6.8.9
- Open Source WordPress 6.7.8
- Open Source WordPress 6.6.8
- Open Source WordPress 6.5.11
- Open Source WordPress 6.4.11
- Open Source WordPress 6.3.11
- Open Source WordPress 6.2.12
- Open Source WordPress 6.1.13
- Open Source WordPress 6.0.15
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- WordPress 7.1.1 Maintenance and Security Release vom 2026-09-20 wordpress.org
- GitHub Security Advisory GHSA-32m5-wc28-ghrr vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-33wf-p63q-w25f vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-5qf7-2r5p-ppj8 vom 2026-09-20 github.com
- Pwn.ai Research - Click2Shell vom 2026-09-20 pwn.ai
- GitHub Security Advisory GHSA-76jg-r2qr-v77f vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-cjfg-q57r-mq45 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-f522-h982-63mg vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-mgvw-845h-9qgq vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-qg7r-fjh2-wvx8 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-rmpv-w5v9-rqh5 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-w57f-v787-qhpf vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-xhp5-863h-rhfr vom 2026-09-20 github.com
- Comment2Shell: Zero-Click Pre-Auth XSS to RCE in WordPress Core vom 2026-09-21 idnsec.com
- Debian Security Advisory DSA-6525 vom 2026-09-28 security-tracker.debian.org
CVE: CVE-2026-93485
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.