WordPress-Sicherheitslücke CVE-2026-64638: Update erforderlich
Eine kritische Sicherheitslücke (CVE-2026-64638) wurde in WordPress entdeckt. Diese sogenannte 'Pre-Auth Reflected XSS'-Schwachstelle auf dem Anmeldebildschirm ermöglicht es Angreifern, bösartigen Code einzuschleusen, noch bevor sich ein Nutzer anmeldet.
Was ist passiert?
Eine kritische Sicherheitslücke (CVE-2026-64638) wurde in WordPress entdeckt. Diese sogenannte 'Pre-Auth Reflected XSS'-Schwachstelle auf dem Anmeldebildschirm ermöglicht es Angreifern, bösartigen Code einzuschleusen, noch bevor sich ein Nutzer anmeldet. Unter bestimmten Umständen und durch gezieltes Social Engineering (Manipulation von Personen) kann dies zu einer 'Remote Code Execution' (RCE), also der Fernausführung von Code, eskalieren, wodurch Angreifer potenziell die Kontrolle über das System erlangen könnten.
Wer ist betroffen?
Betroffen sind grundsätzlich alle WordPress-Installationen, unabhängig von der aktuell genutzten Version. Da die Schwachstelle auf dem Anmeldebildschirm liegt, sind alle Websites, die WordPress nutzen, potenziell gefährdet. Die Entwickler haben jedoch eine Korrektur für alle Versionen ab 4.7 bereitgestellt.
Wie kritisch ist es?
Mit einem CVSS-Score (Common Vulnerability Scoring System) von 8.9 wird diese Lücke als 'hochkritisch' eingestuft, was auf ein erhebliches Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage liegt laut EPSS (Exploit Prediction Scoring System) bei 31 %, was als relativ hoch gilt. Obwohl die Schwachstelle derzeit nicht in der CISA KEV-Liste (Known Exploited Vulnerabilities) der aktiv ausgenutzten Lücken geführt wird, sollte die potenzielle Gefahr nicht unterschätzt werden.
Was ist jetzt zu tun?
Es ist dringend empfohlen, Ihre WordPress-Installation umgehend auf die neueste Version 7.0.3 zu aktualisieren. Für Nutzer älterer WordPress-Versionen wurde der Fix auf alle Zweige bis Version 4.7 zurückportiert, sodass auch hier ein Update auf die jeweils aktuellste Unterversion der genutzten Hauptversion erfolgen sollte. Stellen Sie sicher, dass Ihre Website-Backups aktuell sind, bevor Sie das Update durchführen.
Quellen: NVD (CVE-2026-64638), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.