Schwere Sicherheitslücke in WordPress entdeckt

Eine neu entdeckte Sicherheitsanfälligkeit im WordPress-Core ermöglicht es unautorisierten Angreifern, Code auf betroffenen Websites auszuführen. Diese Schwachstelle betrifft alle Installationen der Versionen 6.9 und 7.0, selbst wenn keine Plugins installiert sind. Die Sicherheitslücke wurde am 18. Juli 2026 mit den CVE-IDs CVE-2026-1234 und CVE-2026-1235 registriert. Die Schwachstelle erlaubt es Angreifern, über eine anonyme HTTP-Anfrage auf die WordPress-Installation zuzugreifen.

Dies bedeutet, dass ein Angreifer ohne Authentifizierung und ohne vorherige Interaktion mit der Website schadhafter Code ausführen kann. Die Entdeckung dieser Lücke hat die Sicherheitsgemeinschaft alarmiert, da sie potenziell weitreichende Auswirkungen auf Millionen von Websites hat. Ein vollständiger Mechanismus zur Ausnutzung dieser Schwachstelle wurde veröffentlicht, und ein funktionierender Proof-of-Concept ist ebenfalls verfügbar. Dies ermöglicht es potenziellen Angreifern, die Lücke schnell auszunutzen, bevor ein Patch bereitgestellt wird. Die Veröffentlichung des Proof-of-Concept hat die Dringlichkeit erhöht, Sicherheitsupdates zu implementieren.

Zusätzlich wurde eine Bedingung für einen persistenten Objekt-Cache identifiziert, die die Ausnutzung der Schwachstelle erleichtert. Diese Bedingung könnte es Angreifern ermöglichen, ihre Aktivitäten zu verschleiern und die Erkennung durch Sicherheitslösungen zu umgehen. Experten raten Website-Betreibern, sofortige Maßnahmen zu ergreifen, um ihre Systeme zu schützen. Die WordPress-Entwickler haben bereits an einem Update gearbeitet, um die Sicherheitsanfälligkeiten zu beheben. Ein offizielles Update wird in den kommenden Tagen erwartet.

Bis dahin wird empfohlen, die Website-Betriebsumgebung zu überprüfen und gegebenenfalls zusätzliche Sicherheitsmaßnahmen zu implementieren, um das Risiko eines Angriffs zu minimieren. Die Sicherheitslücke hat das Potenzial, eine Vielzahl von Websites zu gefährden, da WordPress eine der am häufigsten verwendeten Content-Management-Systeme weltweit ist. Schätzungen zufolge laufen über 40 % aller Websites im Internet auf WordPress. Diese hohe Verbreitung macht die Plattform zu einem attraktiven Ziel für Cyberkriminelle. Die Sicherheitsgemeinschaft hat bereits auf die Entdeckung reagiert und empfiehlt, alle WordPress-Installationen regelmäßig zu aktualisieren und Sicherheitsplugins zu verwenden, um potenzielle Angriffe zu verhindern.

Die Bedeutung von regelmäßigen Sicherheitsüberprüfungen und Updates wird in diesem Kontext besonders hervorgehoben. Die WordPress-Community hat sich in der Vergangenheit als reaktionsschnell gegenüber Sicherheitsbedrohungen erwiesen. Die Entwickler haben sich verpflichtet, die Plattform kontinuierlich zu verbessern und Sicherheitslücken schnell zu schließen. Die aktuelle Situation erfordert jedoch sofortige Aufmerksamkeit von allen Nutzern. Die Sicherheitslücke könnte auch Auswirkungen auf die Nutzererfahrung haben, da betroffene Websites möglicherweise offline genommen werden müssen, um die Sicherheit zu gewährleisten.

Dies könnte zu einem Verlust von Traffic und potenziellen Einnahmen führen, insbesondere für Unternehmen, die auf ihre Online-Präsenz angewiesen sind. Die Veröffentlichung der CVE-IDs und des Proof-of-Concepts hat bereits zu einer erhöhten Aktivität in Hackerforen geführt, was die Dringlichkeit unterstreicht, schnell zu handeln. Die Sicherheitslücke wird als kritisch eingestuft, und die Entwickler raten dringend dazu, die Systeme zu sichern, bis ein offizielles Update verfügbar ist. Die WordPress-Entwickler haben angekündigt, dass sie die Sicherheitsupdates bis spätestens 25. Juli 2026 bereitstellen wollen, um die Schwachstellen zu beheben.