WordPress: Mehrere Schwachstellen
WID-SEC-2026-3472 · première publication 21.09.2026 · mise à jour 29.09.2026 · CVSS 8,8
De quoi il s’agit
WordPress ist ein PHP basiertes Open Source Blog-System. Ein Angreifer kann mehrere Schwachstellen in WordPress ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren und offenzulegen.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- beliebigen Programmcode auszuführen
- Sicherheitsmaßnahmen zu umgehen
- Cross-Site-Scripting-Angriffe durchzuführen oder Daten zu manipulieren
- offenzulegen
Suis-je concerné ?
Concernés selon le BSI :
- Debian Linux
- Open Source WordPress <7.1.1
- Open Source WordPress <7.0.5
- Open Source WordPress <6.9.8
- Open Source WordPress <6.8.9
- Open Source WordPress <6.7.8
- Open Source WordPress <6.6.8
- Open Source WordPress <6.5.11
- Open Source WordPress <6.4.11
- Open Source WordPress <6.3.11
- Open Source WordPress <6.2.12
- Open Source WordPress <6.1.13
et 14 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source WordPress 7.1.1
- Open Source WordPress 7.0.5
- Open Source WordPress 6.9.8
- Open Source WordPress 6.8.9
- Open Source WordPress 6.7.8
- Open Source WordPress 6.6.8
- Open Source WordPress 6.5.11
- Open Source WordPress 6.4.11
- Open Source WordPress 6.3.11
- Open Source WordPress 6.2.12
- Open Source WordPress 6.1.13
- Open Source WordPress 6.0.15
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- WordPress 7.1.1 Maintenance and Security Release vom 2026-09-20 wordpress.org
- GitHub Security Advisory GHSA-32m5-wc28-ghrr vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-33wf-p63q-w25f vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-5qf7-2r5p-ppj8 vom 2026-09-20 github.com
- Pwn.ai Research - Click2Shell vom 2026-09-20 pwn.ai
- GitHub Security Advisory GHSA-76jg-r2qr-v77f vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-cjfg-q57r-mq45 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-f522-h982-63mg vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-mgvw-845h-9qgq vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-qg7r-fjh2-wvx8 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-rmpv-w5v9-rqh5 vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-w57f-v787-qhpf vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-xhp5-863h-rhfr vom 2026-09-20 github.com
- Comment2Shell: Zero-Click Pre-Auth XSS to RCE in WordPress Core vom 2026-09-21 idnsec.com
- Debian Security Advisory DSA-6525 vom 2026-09-28 security-tracker.debian.org
CVE: CVE-2026-93485
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.