Hacker nutzen WordPress-RCE-Schwachstelle nach Veröffentlichung eines Patches aus

Angreifer sind dazu übergegangen, eine RCE-Schwachstelle in WordPress nicht mehr nur zu untersuchen, sondern zu versuchen, schädliche Dateien auf anfällige Websites zu schreiben. Einige beobachtete Payloads könnten Shell-Befehle ausführen, wenn jemand auf die Dateien zugreift, so das Sicherheitsunternehmen Patchstack.

Angriffe begannen wenige Stunden nach dem Patch

Die Schwachstelle, CVE-2026-87902, erhielt eine kritische Schweregradbewertung von 9,2 von 10. WordPress behob sie am 22. September 2026 in Version 7.1.2.

Patchstack registrierte die ersten schädlichen Anfragen weniger als fünf Stunden nach der Veröffentlichung des Patches. Zunächst versuchten Angreifer, gewöhnliche WordPress-Dateien einzubinden, offenbar um anfällige Websites zu identifizieren.

Später verzehnfachte sich jedoch der Angriffsverkehr. Die Forscher beobachteten daraufhin Anfragen, die darauf ausgelegt waren, PHP-Dateien auf die Festplatte zu schreiben. Einige Dateien markierten eine Website lediglich als anfällig, während andere Code enthielten, der beim Zugriff auf die Datei einen Shell-Befehl ausführen konnte.

Patchstack bezeichnete diese als Ausnutzungsversuche. Die Beobachtungen des Unternehmens zeigen nicht, wie viele Websites die Angreifer erfolgreich kompromittiert haben.

Codeausführung erfordert bestimmte Bedingungen

Die RCE-Schwachstelle in WordPress ist ein nicht authentifiziertes Path-Traversal-Problem bei der Verarbeitung von Seitenvorlagen. Sie kann dazu führen, dass WordPress eine lesbare PHP-Datei außerhalb der Verzeichnisse des aktiven Themes einbindet.

Für die Remote-Codeausführung sind zusätzliche Bedingungen erforderlich. Das aktive Theme muss ein Verzeichnis auf oberster Ebene enthalten, dessen Name mit page- beginnt. Der Angreifer muss außerdem eine geeignete lokale PHP-Datei identifizieren, die der Webserver lesen kann.

Der WordPress-Sicherheitshinweis nennt beispielsweise pearcmd.php unter bestimmten PHP-Einstellungen als mögliches Ziel. Er weist außerdem darauf hin, dass einige gängige Docker- und cPanel-Konfigurationen diese Bedingungen erfüllen.

Website-Betreiber sollten aktualisieren und Protokolle überprüfen

WordPress hat in Version 7.1.2 eine Korrektur veröffentlicht und diese bis zurück zu Version 4.7 auf ältere Zweige zurückportiert. Administratoren sollten daher umgehend die entsprechende gepatchte Version für ihren Zweig installieren.

Sie sollten außerdem Webprotokolle auf verdächtige Seitenanfragen überprüfen und unerwartete PHP-Dateien untersuchen, insbesondere in temporären Verzeichnissen. Patchstack beobachtete, dass Angreifer versuchten, Dateien in /tmp und /var/tmp abzulegen.