Wenn es einen Betreiber gibt, der sich diese Schlagzeile besonders zu Herzen nehmen sollte, dann ist es dieser hier selbst — auch Lapalutschi läuft auf WordPress. Am 22. September 2026 hat das WordPress-Projekt eine kritische Sicherheitslücke im eigenen Kern geschlossen, keine Drittanbieter-Erweiterung. Betroffen ist damit praktisch jede aktive WordPress-Installation weltweit.
WAS GENAU KAPUTT WAR
Die Lücke trägt die Kennung CVE-2026-87902 und ist als Local File Inclusion über Verzeichnis-Traversal eingestuft — CVSS-Wert 9,2 von 10. Der Fehler steckt in der Logik, mit der WordPress passende Vorlagendateien auswählt: Aus einem Teil der aufgerufenen Webadresse baut das System intern einen Dateinamen nach dem Muster page-{wert}.php zusammen — prüft dabei aber nicht ausreichend, ob dieser Wert Verzeichnis-Sprünge (../) enthält. Genau diese Prüfung existiert in benachbartem Code bereits, wurde an dieser Stelle aber umgangen.
WARUM DAS GEFÄHRLICH IST
In der Praxis kann ein Angreifer damit beliebige PHP-Dateien außerhalb des Theme-Ordners laden lassen — ganz ohne Benutzerkonto und ohne dass irgendjemand klicken muss. Ob daraus tatsächlich Codeausführung auf dem Server wird, hängt von den konkreten Serverbedingungen ab, insbesondere von der PHP-Einstellung register_argc_argv. Voraussetzung ist außerdem ein aktives Theme, dessen Ordnerstruktur mit „page-“ beginnt — was zwar nicht jede, aber sehr viele verbreitete Themes betrifft.
SEIT WANN DIE LÜCKE EXISTIERT
Betroffen sind alle Versionen von WordPress 4.7.0 — erschienen im Dezember 2016 — bis 7.1.1. Gemeldet hat den Fehler der Sicherheitsforscher Robert Ressl, und zwar bereits im Juli 2026 auf verantwortungsvollem Weg über HackerOne. Das WordPress-Sicherheitsteam hatte damit gut zwei Monate Zeit, den Fix für alle noch unterstützten Versionszweige vorzubereiten — ein Grund, warum die Veröffentlichung so breit gestaffelt ausfällt.
NOCH KEINE AKTIVEN ANGRIFFE — ABER KEIN GRUND ZUM ABWARTEN
Stand 22. September 2026 gibt es keine Berichte über aktive Ausnutzung und auch keinen Eintrag im CISA-Katalog bekannter ausgenutzter Schwachstellen. Das kann sich bei einer derart weit verbreiteten Software allerdings innerhalb weniger Tage ändern, sobald technische Details öffentlich kursieren. Warten lohnt sich hier nicht.
SO PATCHST DU IN 2 MINUTEN
WordPress hat den Fix auf breiter Front ausgerollt:
- 7.1.x → Update auf 7.1.2
- 7.0.x → Update auf 7.0.6
- 6.9.x → Update auf 6.9.9
- Ältere Zweige zurück bis 4.7 erhalten ebenfalls Sicherheitsupdates
Die meisten Installationen mit aktivierten Hintergrund-Updates haben den Patch bereits automatisch erhalten. Prüfen kannst du das im Dashboard unter Dashboard → Updates — steht dort deine Version noch unter 7.1.2 (bzw. dem passenden Sicherheits-Release deines Zweigs), hol das Update manuell nach.