Remotecodeausführung ohne Authentifizierung in WordPress Core bei Core-Upgrades (CVE-2026-119977)

Was passiert ist

WordPress Core 4.7 bis 7.1.3 enthält eine Schwachstelle, die Remotecodeausführung ermöglicht. Während eines Core-Upgrades mit vollständigem Paket legt die Update-Routine vorhersehbare und über das Web erreichbare Staging-Pfade an. Ein nicht authentifizierter Angreifer, der die Website über das Netzwerk erreichen kann, kann diese Pfade während des Upgrade-Fensters nutzen, um Code auf dem Server auszuführen. Es sind keine Berechtigungen und keine Benutzerinteraktion erforderlich. Die Angriffskomplexität ist jedoch hoch, da das verwundbare Zeitfenster begrenzt ist. Der CVSS-3.1-Wert beträgt 8,1 und wird als hoch eingestuft: Angriffsvektor Netzwerk, hohe Angriffskomplexität, keine Berechtigungen erforderlich, keine Benutzerinteraktion, unveränderter Scope sowie hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Im CVE-Datensatz wird weder über eine Ausnutzung noch über eine öffentliche Bekanntgabe berichtet.

Wer betroffen ist

Der Titel und die Beschreibung des CVE geben an, dass WordPress Core 4.7 bis 7.1.3 betroffen ist. Die Liste betroffener Versionen im CVE-Datensatz zählt folgende Versionslinien auf: 4.7.0 bis 4.7.38, 4.8.0 bis 4.8.33, 4.9.0 bis 4.9.34, 5.0.0 bis 5.0.30, 5.1.0 bis 5.1.27, 5.2.0 bis 5.2.29, 5.3.0 bis 5.3.26 und 5.4.0 bis 5.4.24. Die Liste betroffener Versionen führt keine Releases über 5.4.24 auf, obwohl Titel und Beschreibung die Obergrenze bei 7.1.3 setzen. WordPress ist in der Regel öffentlich zugänglich und aus dem Internet erreichbar. Daher sollte jede Website überprüft werden, auf der diese Versionen laufen.

Was jetzt zu tun ist

1. Ermitteln Sie alle WordPress-Core-Instanzen, auf denen Versionen von 4.7 bis 7.1.3 laufen.
2. Im CVE-Datensatz ist keine korrigierte Version aufgeführt, und es ist kein Workaround angegeben. Behandeln Sie kein Release als bestätigten Fix, ohne die auf dieser Seite verlinkten WordPress-Release-Informationen und Trac-Referenzen zu prüfen.
3. Beschränken Sie den Netzwerkzugriff auf die WordPress-Installation und auf die Staging-Verzeichnisse, die bei Core-Upgrades verwendet werden. Setzen Sie den Upgrade-Prozess nicht dem öffentlichen Internet aus.
4. Wenn sich ein Core-Upgrade mit vollständigem Paket nicht vermeiden lässt, führen Sie es innerhalb eines Wartungsfensters aus und überwachen Sie den Server und die Zugriffsprotokolle für die gesamte Dauer des Fensters.

Wie man es erkennt

Der CVE-Datensatz enthält keine spezifischen Kompromittierungsindikatoren. Überprüfen Sie während eines jeden Core-Upgrades die Zugriffsprotokolle auf Anfragen an die oben beschriebenen vorhersehbaren Staging-Pfade, und achten Sie auf unerwartete Dateiänderungen oder Prozesse im Wurzelverzeichnis der Website, solange das Upgrade-Fenster geöffnet ist.

Über den Patch hinaus

Öffentliche WordPress-Websites sind öffentlich zugängliche Plattformen, und diese Schwachstelle liegt im Ablauf des Core-Upgrades selbst und nicht in einem Plugin. Unsere Implementierungsleistungen können eine WordPress-Bereitstellung auf vorhersehbare Staging-Pfade und Upgrade-Hygiene prüfen; Managed Detection and Response erkennt die Codeausführung und weitere Aktivitäten des Angreifers, falls ein Upgrade-Fenster missbraucht wird.