Kritische Sicherheitslücke in WordPress Core: Remote Code Execution möglich (CVE-2026-119977)
Eine kritische Sicherheitslücke (CVE-2026-119977) wurde im WordPress Core entdeckt. Diese betrifft die Versionen 4.7 bis einschliesslich 7.1.3.
Was ist passiert?
Eine kritische Sicherheitslücke (CVE-2026-119977) wurde im WordPress Core entdeckt. Diese betrifft die Versionen 4.7 bis einschliesslich 7.1.3. Ursache sind vorhersagbare, über das Web zugängliche temporäre Pfade, die während eines vollständigen Core-Upgrades genutzt werden. Dies ermöglicht es nicht-authentifizierten Angreifern, während des Upgrade-Fensters eigenen Code auf dem Server auszuführen (Remote Code Execution).
Wer ist betroffen?
Betroffen sind alle Installationen von WordPress Core, die sich in den Versionen 4.7 bis 7.1.3 befinden. Unternehmen, die diese WordPress-Versionen für ihre Webseiten oder Anwendungen nutzen, sind einem erhöhten Risiko ausgesetzt. Die Schwachstelle kann während des Zeitfensters eines Core-Upgrades ausgenutzt werden.
Wie kritisch ist es?
Die Kritikalität dieser Lücke wird mit einem CVSS-Score von 8.1 als 'HIGH' eingestuft, was auf ein hohes Gefahrenpotenzial hinweist. Obwohl die Wahrscheinlichkeit einer Ausnutzung (EPSS) in den nächsten 30 Tagen bei nur 1 % liegt, ist die Situation ernst. Die Schwachstelle wird bereits aktiv ausgenutzt und ist seit dem 2. November 2026 im CISA KEV-Katalog gelistet. Dies bedeutet, dass Angreifer die Lücke bereits aktiv für ihre Zwecke missbrauchen.
Was ist jetzt zu tun?
Prüfen Sie umgehend die Version Ihrer WordPress-Installationen. Suchen Sie nach offiziellen Sicherheitsupdates für WordPress Core, die diese Schwachstelle beheben. Da die Lücke während des Upgrade-Fensters ausgenutzt werden kann, ist es ratsam, Updates nur aus vertrauenswürdigen Quellen und unter Beachtung bewährter Sicherheitspraktiken durchzuführen. Erstellen Sie vor jedem Update ein vollständiges Backup Ihrer Webseite.
Quellen: NVD (CVE-2026-119977), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.