Es ist der Albtraum jedes Website-Betreibers: Eine Lücke, die wirklich jede WordPress-Installation der Welt betrifft — und die schon auf der Login-Seite lauert, noch bevor sich irgendjemand einloggt. Genau das haben Forscher jetzt offengelegt. Die gute Nachricht: Der Patch ist bereits da. Die schlechte: Du musst JETZT handeln.
SCHOCK: Die Login-Seite ist das Einfallstor
Die Schwachstelle trägt den Namen CVE-2026-64638 und steckt in der Art, wie WordPress einen fehlgeschlagenen Login verarbeitet. Gibst du einen falschen Benutzernamen ein, landet dieser Name auf der Fehlerseite — und genau dort kann ein Angreifer bösartigen Code einschleusen. Fachleute nennen so etwas Cross-Site-Scripting (XSS). Das Tückische: Es braucht dafür keinerlei Login und keine Rechte. Der Schadcode läuft einfach im Browser des Opfers.
Entdeckt wurde die Lücke vom Team hinter pwn.ai, das die Details an The Hacker News weitergab. Mit einem CVSS-Wert von 8.9 gilt sie als hochkritisch.
GEFAHR! Vom Klick bis zur Server-Übernahme
Ein reiner XSS klingt erst mal harmlos. Doch die Forscher zeigten eine komplette Angriffskette, die sie „XSS2Shell“ nennen. Sie funktioniert so: Ist ein Administrator eingeloggt und klickt auf eine präparierte Seite, kapert der Code ein internes WordPress-Skript, lässt sich ein sogenanntes Anwendungspasswort ausstellen, lädt darüber ein manipuliertes Plugin als ZIP hoch — und schon läuft fremder PHP-Code auf deinem Server. Das Plugin muss dafür nicht einmal aktiviert werden.
Am Ende einer erfolgreichen Kette stünden die Zugangsdaten aus deiner wp-config.php offen, Angreifer könnten neue Admins anlegen und Befehle auf dem Server ausführen. WordPress selbst schätzt die Ausnutzbarkeit vorsichtiger ein: Die Eskalation zur Server-Übernahme brauche Social Engineering und einen aktiven Klick des Admins.
So schützt du deine Seite in 5 MINUTEN
Der Fix steckt in WordPress 7.0.3, veröffentlicht am 6. August. Die Korrektur wurde bis zur alten Version 4.7 zurückportiert. Seiten mit aktiviertem Hintergrund-Update sollten die Sicherheitsversion automatisch bekommen — verlass dich aber nicht blind darauf.
EXTRA-TIPP: Wichtig zu wissen — die Forscher fanden, dass selbst eine strenge Content-Security-Policy den demonstrierten Weg nicht blockierte. Das reine Update ist also Pflicht, Härtungsmaßnahmen allein reichen nicht.
Prüfe im Dashboard unter Dashboard → Aktualisierungen, ob deine Version bereits 7.0.3 ist. Falls nicht: manuell anstoßen. Versionen älter als 4.7 bleiben verwundbar und sollten dringend angehoben werden.
FAZIT: Kein Grund zur Panik, aber zum Handeln
Aktive Angriffe sind laut WordPress-Advisory bis zum 7. August nicht bekannt. Doch bei WordPress-Lücken vergehen zwischen Veröffentlichung und ersten automatisierten Scans oft nur Stunden. Wer seine Seite liebt, spielt das Update heute ein — nicht nächste Woche.