WordPress: Schwachstelle ermöglicht Codeausführung
WID-SEC-2026-4283 · erstmals 02.11.2026 · aktualisiert 02.11.2026 · CVSS 8,1
Worum es geht
WordPress ist ein PHP basiertes Open Source Blog-System. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in WordPress ausnutzen, um beliebigen Programmcode auszuführen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Programmcode auszuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Open Source WordPress <4.7.39
- Open Source WordPress <4.8.34
- Open Source WordPress <4.9.35
- Open Source WordPress <5.0.31
- Open Source WordPress <5.1.28
- Open Source WordPress <5.2.30
- Open Source WordPress <5.3.27
- Open Source WordPress <5.4.25
- Open Source WordPress <5.5.24
- Open Source WordPress <5.6.23
- Open Source WordPress <5.7.21
- Open Source WordPress <5.8.19
und 13 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source WordPress 4.7.39
- Open Source WordPress 4.8.34
- Open Source WordPress 4.9.35
- Open Source WordPress 5.0.31
- Open Source WordPress 5.1.28
- Open Source WordPress 5.2.30
- Open Source WordPress 5.3.27
- Open Source WordPress 5.4.25
- Open Source WordPress 5.5.24
- Open Source WordPress 5.6.23
- Open Source WordPress 5.7.21
- Open Source WordPress 5.8.19
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- WordPress Vulnerability Database vom 2026-11-01 www.wordfence.com
CVE: CVE-2026-119977
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.