Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-87902HighCVSS: 8.1

WordPress LFI-Lücke CVE-2026-87902 ermöglicht RCE (CVSS 8.1)

In WordPress vor Version 7.1.2 kann ein nicht authentifizierter Angreifer über die Page-Template-Auflösung in get_page_template() eine beliebige lesbare lokale .php-Datei außerhalb der aktiven Theme-Verzeichnisse einbinden. Sind die serverseitigen und theme-seitigen Voraussetzungen erfüllt, kann dies zu Remote Code Execution führen.

METADATEN

Entdeckt:
22.09.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •WordPress Foundation WordPress 0 <7.1.2

Zusammenfassung

In WordPress vor Version 7.1.2 besteht eine kritische Local-File-Inclusion-Schwachstelle in der Page-Template-Auflösung der Funktion get_page_template(). Ein nicht authentifizierter Angreifer kann eine selbst gewählte, lesbare lokale .php-Datei außerhalb der aktiven Theme-Verzeichnisse einbinden lassen. Bei erfüllten Voraussetzungen auf Server- und Theme-Seite führt dies zu Remote Code Execution. Die Schwachstelle wird unter CVE-2026-87902 mit CVSS 8.1 (High) geführt. Ein Update auf WordPress 7.1.2 oder neuer ist dringend empfohlen.

Technische Details

Die Schwachstelle liegt in der Auflösung von Page-Templates durch get_page_template(). Die Validierung des Template-Pfads ist unzureichend, sodass ein Angreifer ohne Authentifizierung die Einbindung einer kontrollierten, lesbaren lokalen .php-Datei außerhalb der Verzeichnisse des aktiven Themes erzwingen kann (LFI). CVE-2026-87902 ist mit CVSS 8.1 als High eingestuft. Zur erfolgreichen Ausnutzung bis hin zu RCE müssen zusätzliche Vorbedingungen erfüllt sein, etwa schreib- bzw. ablegbare PHP-Dateien auf dem Server und ein entsprechend aufgebautes aktives Theme. Details sind im GitHub Security Advisory GHSA-7hp8-65ch-5whp dokumentiert.

Betroffene Systeme

  • WordPress Foundation WordPress in Versionen 0 bis ausschließlich 7.1.2
  • Alle Installationen mit verwundbarer get_page_template()-Logik und nicht authentifiziert erreichbarem Template-Handling
  • Besonders gefährdet: Server mit zusätzlich ablegbaren oder lesbaren .php-Dateien und Themes, die die Ausnutzungsvoraussetzungen erfüllen

Empfehlungen und Maßnahmen

  • Sofort auf WordPress 7.1.2 oder neuer aktualisieren
  • Nach dem Update Cache und aktive Theme-Funktion prüfen und Webserver-Logs auf verdächtige Template-Zugriffe kontrollieren
  • Least-Privilege-Prinzip prüfen: keine unnötigen schreibbaren PHP-Dateien im Webroot, Upload-Verzeichnisse ohne PHP-Ausführung absichern
  • WAF-Regeln und Monitoring für LFI- und Template-Inclusion-Versuche aktivieren
  • Falls kein sofortiges Update möglich: öffentliche Erreichbarkeit einschränken, Backups erstellen und Herstellerhinweise verfolgen

Quellen

REFERENZEN