WordPress 7.1.2: Kritisches Sicherheitsupdate schließt aktiv ausgenutzte Lücke

Wenn du eine Website auf WordPress betreibst, solltest du jetzt kurz alles stehen und liegen lassen: Mit dem WordPress 7.1.2 Sicherheitsupdate hat das WordPress-Kernteam eine kritische Schwachstelle geschlossen, die bereits aktiv von Angreifern ausgenutzt wird. Betroffen ist praktisch jede WordPress-Installation, die nicht auf dem neuesten Stand ist – unabhängig davon, welches Theme oder welche Plugins im Einsatz sind. Bevor du also über neue Inhalte, Rankings oder Kampagnen nachdenkst, muss zuerst die Basis stimmen: eine Website, die überhaupt online und unter deiner Kontrolle bleibt.

Was hinter CVE-2026-87902 steckt

Die Lücke trägt die Kennung CVE-2026-87902 und wurde vom Sicherheitsteam von Wordfence als „kritisch“ eingestuft – die höchste Alarmstufe, die es für Software-Schwachstellen gibt. Wordfence ist einer der bekanntesten Anbieter von Sicherheits-Plugins und -Diensten für WordPress; das dazugehörige Threat-Intelligence-Team beobachtet laufend neue Schwachstellen und Angriffswellen im WordPress-Ökosystem und veröffentlicht dazu regelmäßig Warnungen, auf die sich auch andere Fachmedien stützen. Bei der aktuellen Lücke handelt es sich um eine sogenannte Path-Traversal-Schwachstelle, die ganz ohne Login ausgenutzt werden kann. Das bedeutet: Ein Angreifer braucht kein Benutzerkonto, kein Passwort und keinen Zugriff auf das Backend – ein präparierter Request an eine öffentlich erreichbare WordPress-Installation reicht aus.

Path Traversal einfach erklärt

Bei einem Path-Traversal-Angriff schleust jemand spezielle Zeichenfolgen (etwa „../“) in einen Dateipfad ein, um aus einem eigentlich vorgesehenen Verzeichnis „auszubrechen“. Statt nur auf ein Bild im Uploads-Ordner zuzugreifen, gelangt der Angreifer so an Konfigurationsdateien, Passwort-Hashes oder kann im schlimmsten Fall eigene Dateien auf den Server schreiben. Genau das macht CVE-2026-87902 so gefährlich: Sicherheitsforscher von Wordfence und Berichte von BleepingComputer sowie The Hacker News bestätigen übereinstimmend, dass sich die Lücke bis zur vollständigen Codeausführung auf dem Server ausbauen lässt – also bis zur vollständigen Übernahme der Website.

Aktive Angriffe seit Bekanntwerden der Lücke

Was diesen Fall besonders dringlich macht: Es handelt sich nicht um ein theoretisches Risiko. BleepingComputer berichtete kurz nach Veröffentlichung des Patches, dass Angreifer bereits automatisiert nach verwundbaren WordPress-Seiten scannen und die Lücke gezielt für Code-Ausführung missbrauchen. The Hacker News bestätigte diese Beobachtung mit eigenen Auswertungen von Honeypot-Daten. In solchen Situationen zählt jede Stunde: Automatisierte Bots durchsuchen das Web systematisch nach dem Fingerabdruck ungepatchter Installationen – dein Bekanntheitsgrad oder deine Branche spielen dabei keine Rolle.

Wer ist betroffen und was solltest du prüfen

Betroffen sind grundsätzlich alle WordPress-Versionen vor 7.1.2. Da die Schwachstelle im Core liegt und nicht in einem einzelnen Plugin, hilft es nichts, nur einzelne Erweiterungen zu deaktivieren – die Ursache sitzt tiefer.

Was jetzt konkret zu tun ist

Die offizielle Ankündigung von WordPress.org macht deutlich, dass es sich um einen reinen Sicherheitsrelease handelt – ohne neue Funktionen, aber mit maximaler Priorität. Viele Installationen sind zwar für automatische Hintergrund-Updates bei Sicherheitsversionen konfiguriert, doch darauf solltest du dich nicht blind verlassen: Manche Hosting-Umgebungen deaktivieren Auto-Updates bewusst, manche Serverkonfigurationen blockieren den Update-Prozess, und bei individuell angepasstem Code kann ein automatisches Update im Hintergrund sogar fehlschlagen, ohne dass es sofort auffällt. Auto-Update ist also eine sinnvolle Absicherung, aber kein Ersatz für die manuelle Kontrolle. Folgende Schritte solltest du deshalb zeitnah selbst abarbeiten:

1. Version aktiv prüfen statt nur zu vertrauen: Kontrolliere im Dashboard oder direkt beim Hosting-Anbieter, ob tatsächlich auf Version 7.1.2 aktualisiert wurde – auch wenn Auto-Update aktiv ist.
2. Backup vor dem Update anlegen: Auch bei Sicherheitsupdates gehört ein aktuelles Backup zur Grundausstattung, falls es zu Kompatibilitätsproblemen mit Theme oder Plugins kommt.
3. Server- und Zugriffsprotokolle sichten: Auffällige POST-Requests oder ungewöhnliche Dateipfade in den Logs deuten auf Ausnutzung noch vor dem Patch hin.
4. Dateisystem auf Webshells prüfen: Unbekannte PHP-Dateien in Upload-Ordnern oder Theme-Verzeichnissen sind ein Alarmsignal.
5. Benutzerkonten kontrollieren: Alle Admin-Zugänge auf unbekannte oder unerwartet angelegte Konten prüfen.
6. Passwörter und Schlüssel erneuern: Nach einem Verdachtsfall sollten Admin-Passwörter, Datenbankzugänge und Security-Keys ausgetauscht werden.

Wer serverseitig zusätzlich absichern will, kann über die htaccess-Datei den direkten Zugriff auf sensible Verzeichnisse einschränken – das ersetzt das Update nicht, reduziert aber die Angriffsfläche zusätzlich.

Warum technisches Verständnis vor jeder Reaktion steht

Genau solche Situationen zeigen, warum Online-Marketing mit Verstehen beginnt – nicht mit blindem Aktionismus. Ein Update „einfach draufzuspielen“ reicht nicht, wenn man nicht versteht, welche Plugins, Themes und Individualanpassungen im Zusammenspiel mit dem Core stehen. Wer die Struktur einer Website kennt, kann in Minuten einschätzen, ob ein Update reibungslos läuft oder ob es vorher eine Testumgebung braucht. Diese Sorgfalt ist kein Selbstzweck, sondern schützt am Ende genau das, wofür sich SEO-Arbeit, Content und Kampagnen überhaupt lohnen: eine erreichbare, vertrauenswürdige Website.

Was ein erfolgreicher Angriff für dein Unternehmen bedeuten kann

Eine kompromittierte Website ist selten nur ein technisches Problem. Suchmaschinen stufen infizierte Seiten schnell zurück oder blenden Warnhinweise ein, was direkt Sichtbarkeit und Traffic kostet. Werden bei einem Einbruch personenbezogene Daten – etwa aus Kontaktformularen oder Kundenkonten – eingesehen oder entwendet, kann das eine Meldepflicht gegenüber der Datenschutzbehörde nach der DSGVO auslösen. Diese Meldepflicht gilt EU-weit unmittelbar, die genaue Ausgestaltung und Fristenpraxis kann sich aber je nach nationaler Behörde im Detail unterscheiden. Im Zweifel lohnt sich hier eine rechtliche Einschätzung, statt sich auf Vermutungen zu verlassen.

Sicherheit ist Teil einer funktionierenden Online-Strategie

Ein Sicherheitsvorfall trifft meist genau die Unternehmen unvorbereitet, die WordPress „nebenbei“ mitlaufen lassen, ohne feste Zuständigkeit für Updates und Monitoring. Wer als WordPress Agentur arbeitet, sollte deshalb nicht nur Design und Inhalte im Blick haben, sondern auch die technische Wartung als festen Bestandteil der Betreuung verstehen. Genau das ist der Unterschied zwischen einer Agentur, die Kampagnen ausliefert, und einem Partner, der die gesamte Website – Technik, Inhalt und Sichtbarkeit – als zusammenhängendes System begreift.

Fällt dir ein Update auf, das du selbst nicht einschätzen kannst, oder hast du den Verdacht, dass deine Seite bereits betroffen sein könnte, gilt: Lieber einmal zu viel nachfragen als riskieren, dass eine ungepatchte Lücke zum Ausfall der ganzen Website führt.

Häufige Fragen

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine verbindliche Einschätzung deiner konkreten Situation wende dich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.