WordPress: Mehrere Schwachstellen
WID-SEC-2026-3472 · primera publicación 21.09.2026 · actualizado 29.09.2026 · CVSS 8,8
De qué se trata
WordPress ist ein PHP basiertes Open Source Blog-System. Ein Angreifer kann mehrere Schwachstellen in WordPress ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren und offenzulegen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Programmcode auszuführen
- Sicherheitsmaßnahmen zu umgehen
- Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren
- offenzulegen
¿Me afecta?
Afectados según el BSI:
- Debian Linux
- Open Source WordPress <7.1.1
- Open Source WordPress <7.0.5
- Open Source WordPress <6.9.8
- Open Source WordPress <6.8.9
- Open Source WordPress <6.7.8
- Open Source WordPress <6.6.8
- Open Source WordPress <6.5.11
- Open Source WordPress <6.4.11
- Open Source WordPress <6.3.11
- Open Source WordPress <6.2.12
- Open Source WordPress <6.1.13
y 14 más
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source WordPress 7.1.1
- Open Source WordPress 7.0.5
- Open Source WordPress 6.9.8
- Open Source WordPress 6.8.9
- Open Source WordPress 6.7.8
- Open Source WordPress 6.6.8
- Open Source WordPress 6.5.11
- Open Source WordPress 6.4.11
- Open Source WordPress 6.3.11
- Open Source WordPress 6.2.12
- Open Source WordPress 6.1.13
- Open Source WordPress 6.0.15
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- WordPress 7.1.1 Maintenance and Security Release vom 2026-09-20 wordpress.org
- GitHub Security Advisory GHSA-32m5-wc28-ghrr vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-33wf-p63q-w25f vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-5qf7-2r5p-ppj8 vom 2026-09-20 github.com
- Pwn.ai Research - Click2Shell vom 2026-09-20 pwn.ai
- GitHub Security Advisory GHSA-76jg-r2qr-v77f vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-cjfg-q57r-mq45 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-f522-h982-63mg vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-mgvw-845h-9qgq vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-qg7r-fjh2-wvx8 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-rmpv-w5v9-rqh5 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-w57f-v787-qhpf vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-xhp5-863h-rhfr vom 2026-09-20 github.com
- Comment2Shell: Zero-Click Pre-Auth XSS to RCE in WordPress Core vom 2026-09-21 idnsec.com
- Debian Security Advisory DSA-6525 vom 2026-09-28 security-tracker.debian.org
CVE: CVE-2026-93485
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.