WordPress: Remotecodeausführung über PostScript-Dateiupload von Benutzern mit Autorenrolle (CVE-2026-65640)

Was passiert ist

Im Sicherheitshinweis von WordPress wird eine Schwachstelle zur Remotecodeausführung beschrieben, die über das Hochladen einer schädlichen PostScript-Datei erreicht wird. Der Angreifer muss mit der Rolle Autor oder einer höheren Rolle authentifiziert sein; diese Rollen verfügen über die Berechtigung upload_files. Außerdem muss der Server für die Bildverarbeitung Imagick und Ghostscript verwenden. Über das Hochladen hinaus ist keine Benutzerinteraktion erforderlich.

Der CVSS-3.0-Wert beträgt 8,8; der Schweregrad ist hoch. Der Angriffsvektor ist das Netzwerk, die erforderlichen Rechte sind gering, es ist keine Benutzerinteraktion erforderlich, und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch. Die Schwachstelle wird als uneingeschränktes Hochladen von Dateien eingestuft (CWE-434). WordPress hat nicht mitgeteilt, dass die Schwachstelle aktiv ausgenutzt wird; für diese CVE gibt es keinen KEV-Eintrag.

Wer betroffen ist

Betroffen sind alle WordPress-Versionen vor 7.0.4. Relevant ist die Schwachstelle für Websites, auf denen Benutzer mit Autorenrolle oder einer höheren Rolle Dateien hochladen dürfen und auf deren Server Imagick und Ghostscript aktiv sind. Installationen, bei denen eine dieser Voraussetzungen fehlt, sind über diesen Weg nicht gefährdet. WordPress ist ein öffentlich zugängliches Content-Management-System, häufig mit vielen Inhaltsrollen und Medien-Uploads.

WordPress hat die Korrektur auf alle Wartungszweige ab 4.7 zurückportiert. Die konkreten korrigierten Versionen sind nachfolgend aufgeführt.

Was jetzt zu tun ist

1. Stellen Sie fest, welche WordPress-Version Sie einsetzen und ob Imagick und Ghostscript verwendet werden.
2. Aktualisieren Sie auf WordPress 7.0.4 oder – falls Sie einen älteren Versionszweig einsetzen – auf die für diesen Zweig zurückportierte Version: 4.7.35, 4.8.30, 4.9.31, 5.0.27, 5.1.24, 5.2.26, 5.3.23, 5.4.21, 5.5.20, 5.6.19, 5.7.17, 5.8.15, 5.9.16, 6.0.14, 6.1.12, 6.2.11, 6.3.10, 6.4.10, 6.5.10, 6.6.7, 6.7.7, 6.8.8, 6.9.7, 7.0.4.
3. WordPress hat keine Problemumgehung veröffentlicht. Prüfen Sie bis zum Einspielen des Updates, welche Benutzerkonten über die Berechtigung upload_files verfügen und ob sie diese weiterhin benötigen.

Wie man es erkennt

Der Sicherheitshinweis enthält keine Indikatoren für eine Kompromittierung. Um eine mögliche Gefährdung festzustellen, bestätigen Sie, dass Imagick und Ghostscript auf dem Server aktiv sind, und prüfen Sie alle Konten, die mindestens die Rolle Autor und damit die Berechtigung upload_files besitzen.

Über den Patch hinaus

Zugriffsrechte auf Autorenniveau sind leichter zu erlangen als Administratorrechte. Daher geht es nicht nur um das Einspielen eines Sicherheitspatches, sondern auch um Erkennung und Härtung. Für die Erkennung der Codeausführung und des Missbrauchs von Konten, die auf einen solchen Upload folgen, ist Managed Detection and Response (MDR) die richtige Ebene. Wenn Sie die Verarbeitung von Uploads und die Rollentrennung vor einem Sicherheitsvorfall überprüfen müssen, lässt sich die WordPress-Installation mit Implementierungs- und Bewertungsleistungen testen und härten.