WordPress Sicherheitslücke CVE-2026-87902: Angriffe am Tag des Patches

Eine WordPress Sicherheitslücke CVE-2026-87902 wird aktiv für Codeausführung missbraucht. Die ersten Angriffsversuche trafen noch am Tag ein, an dem der Patch erschien – Patchstack registrierte sie am 22. September 2026 um 11:49 UTC. Wer eine WordPress-Seite betreibt, sollte heute handeln und nicht am Wochenende.

Was an der WordPress Sicherheitslücke CVE-2026-87902 gefährlich ist

Der Fehler steckt in der Auflösung von Seiten-Templates über get_page_template(). Ein Angreifer ohne Anmeldung kann damit erreichen, dass eine beliebige lesbare lokale .php-Datei außerhalb der aktiven Theme-Verzeichnisse eingebunden wird. Das ist zunächst eine Path-Traversal- beziehungsweise Local-File-Inclusion-Schwäche (CWE-98). Unter bestimmten Bedingungen wird daraus Remote Code Execution.

Diese Bedingungen sind konkret benannt. Das aktive Eltern- oder Kind-Theme braucht ein Verzeichnis auf oberster Ebene, dessen Name mit page- beginnt, etwa page-templates. Außerdem muss die eingebundene Datei für den Webserver-Account lesbar sein. Das offizielle Advisory nennt pearcmd.php als Beispiel, sofern die PHP-Einstellung register_argc_argv aktiv ist. Betroffen sind laut Advisory unter anderem das offizielle PHP-Docker-Image und die Standardkonfiguration von cPanel mit PHP-Versionen vor 8.5.

Bei der Einstufung gehen die Quellen auseinander, und das gehört gesagt: Das WordPress-Security-Team bewertet die Lücke als kritisch mit 9,2 von 10 Punkten. Der bei der NVD hinterlegte sekundäre CVSS-3.1-Wert liegt dagegen bei 8,1 („High“) – wegen der hohen Angriffskomplexität, die sich aus den Vorbedingungen ergibt. Für die Praxis ändert das wenig, weil die Angriffe bereits laufen.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Der Zeitplan: Patch am Dienstag, Angriffe noch am selben Tag

WordPress 7.1.2 erschien am 22. September 2026. Wegen der Schwere wurden Fixes bis hinunter zu Zweig 4.7 zurückportiert; Zweige unterhalb von 4.7 bekommen keinen Fix mehr. Der NVD-Eintrag wurde am selben Tag um 17:17 UTC veröffentlicht.

Das Sicherheitsunternehmen Patchstack beobachtete die ersten bösartigen Anfragen um 11:49 UTC am 22. September – zunächst von einer kleinen Gruppe von IP-Adressen und nur zur Aufklärung. (BleepingComputer nennt abweichend 17:44 UTC; ich folge hier der Primärquelle Patchstack.) Am 23. September stieg der Verkehr dann um das Zehnfache, und es kam eine Schreibphase dazu: Die Angreifer legen Dateien in /tmp und /var/tmp ab, teils nur als Markierung („dieser Host ist verwundbar“), teils mit einem kurzen Tag, das beim Aufruf einen Shell-Befehl ausführt. Beobachtete Dateinamen sind etwa wp-pear-rce-flag.php, poc87902.php sowie Namen nach dem Muster luci_<zufall>.php und zeta_<zufall>.php. Der erste Schwung kam aus einer kleinen Adressgruppe; inzwischen verteilt sich der Verkehr laut Patchstack auf deutlich mehr Quellen – Sperrlisten einzelner IPs sind damit keine tragfähige Strategie.

Was das für dich bedeutet

Aus meiner Erfahrung mit Patch-Zyklen ist das hier der unangenehmste Fall: Der Patch selbst ist der Startschuss für den Angriff. Sobald ein Fix veröffentlicht ist, lässt sich die Lücke aus dem Diff rekonstruieren – automatisiert, in Stunden. Wer noch eine Woche „beobachten“ will, beobachtet in diesem Fall den eigenen Einbruch.

Die gute Nachricht für kleine Betriebe und private Seiten: Die Vorbedingungen sind eng. Viele Installationen erfüllen sie nicht, weil ihr Theme kein page--Verzeichnis auf oberster Ebene hat oder register_argc_argv deaktiviert ist. Die schlechte Nachricht: Genau die beiden genannten Umgebungen – offizielles PHP-Docker-Image und cPanel-Standard – sind weit verbreitet, und kaum jemand weiß aus dem Kopf, ob sein Theme so gebaut ist. Verlass dich also nicht darauf, dass du „wahrscheinlich“ nicht betroffen bist. Das ist eine Annahme, keine Prüfung.

Zweiter Punkt aus der CISO-Perspektive: Eine erfolgreiche Ausnutzung hinterlässt Dateien auf der Platte. Die beobachteten Dateien liegen in /tmp und /var/tmp und sind von außen meist nicht direkt aufrufbar – sie sind der Beweis der Ausführung, nicht zwingend die Hintertür selbst. Genau deshalb reicht das Update nicht: Wer einmal schreiben konnte, konnte auch an eine nützlichere Stelle schreiben. Wenn deine Seite zwischen dem 22. September abends und dem Zeitpunkt deines Updates erreichbar war, ist Patchen nur der erste von zwei Schritten.

Konkrete Handlungsempfehlung

• Sofort auf WordPress 7.1.2 aktualisieren – beziehungsweise auf die zurückportierte Version deines Zweigs. Läuft deine Seite auf etwas vor 4.6, ist das Update auf einen unterstützten Zweig kein Wunsch, sondern Pflicht.
• register_argc_argv deaktivieren, wenn du keine Anwendung hast, die es braucht. Das entschärft den in der Praxis genutzten Weg über pearcmd.php.
• Theme prüfen: Gibt es im aktiven Theme oder Child-Theme ein Verzeichnis auf oberster Ebene, das mit page- beginnt? Dann gehörst du zur Risikogruppe.
• Logs durchsuchen nach einem Parameter pagename mit %2e%2e oder %252e%252e – im Querystring und im POST-Body –, besonders zusammen mit einer gültigen page_id. Ebenfalls auffällig: Anfragen, die pearcmd, config-show oder config-create enthalten.
• /tmp und /var/tmp auf neue .php-Dateien kontrollieren und bei Treffern von Kompromittierung ausgehen: Passwörter und Anwendungs-Passwörter erneuern, Salts rotieren, Dateibestand gegen ein sauberes Backup vergleichen.

Letzter Punkt, der oft untergeht: Ein Backup, das erst nach dem Einbruch entstanden ist, enthält die Hintertür mit. Wer mehrere Generationen offline vorhält, kann sauber zurück – verschlüsselte externe Datenträger für Backups sind dafür das nüchternste Mittel. Zur Vorgeschichte dieser Release-Reihe siehe auch meinen Beitrag zu WordPress 7.1.1 und Click2Shell.

Quellen

• WordPress Security Advisory GHSA-7hp8-65ch-5whp
• NVD: CVE-2026-87902
• WordPress 7.1.2 Release-Dokumentation
• Patchstack: Angriffe wenige Stunden nach dem Patch
• BleepingComputer, 23.09.2026