Open-Source-Geschäftsplattformen, Woche 39 2026: aktiv ausgenutzte WordPress-Schwachstelle unter 17 Schwachstellen

Das Release im Überblick

Die Maintainer von GLPI, Frappe/ERPNext, WordPress und Nextcloud haben für Woche 39 (21. bis 27. September 2026) 17 Schwachstellen veröffentlicht: 16 CVEs und einen Sicherheitshinweis ohne CVE. Von den 17 Einträgen entfallen 13 auf GLPI, zwei auf Frappe/ERPNext, einer auf WordPress und einer auf Nextcloud. Der Schweregrad ist in einem Fall kritisch, in acht Fällen hoch und in acht Fällen mittel.

Eine Schwachstelle wird aktiv ausgenutzt: CVE-2026-87902 in WordPress. Sie ist im CISA KEV sowie in ENISA EUVD gelistet und dort seit dem 23. September 2026 als ausgenutzt gekennzeichnet. Die Schwachstelle ermöglicht es einem Angreifer ohne vorherige Authentifizierung, die Auflösung der Seitenvorlage so zu beeinflussen, dass eine lesbare lokale .php-Datei außerhalb des aktiven Themes eingebunden wird; unter geeigneten Server- und Theme-Voraussetzungen ist Remotecodeausführung möglich. Die übrigen Schwachstellen sind nicht als ausgenutzt gemeldet, umfassen jedoch kritische und hohe Schwachstellen für Remotecodeausführung, Dateilöschung, SQL-Injection und Authentifizierungsprobleme in GLPI.

Was am meisten zählt

WordPress: CVE-2026-87902 (CVSS 3.1: 8,1) ist die einzige Schwachstelle in diesem Wochenset, die bekanntermaßen aktiv ausgenutzt wird. Ein Angreifer ohne vorherige Authentifizierung kann get_page_template() dazu veranlassen, eine ausgewählte lesbare lokale .php-Datei außerhalb der Verzeichnisse des aktiven Themes einzubinden; unter geeigneten Server- und Theme-Voraussetzungen führt dies zu Remotecodeausführung. Aktualisieren Sie auf WordPress 7.1.2 oder auf die im Sicherheitshinweis aufgeführten korrigierten Backport-Releases.

GLPI: Die schwerwiegendste GLPI-Schwachstelle ist CVE-2026-48482 (CVSS 4.0: 9,4), ein kritischer Fehler beim Formularimport. Ein Formularadministrator kann mit einer manipulierten Illustrations- oder Szenenkennung das vorgesehene Verzeichnis für benutzerdefinierte Assets verlassen, eine Datei an einem ausführbaren Serverpfad schreiben und sie remote aufrufen. Behoben in 11.0.8.

CVE-2026-47679 (CVSS 4.0: 8,5) ermöglicht es jedem angemeldeten Benutzer, über den Aktualisierungsablauf des Profilbilds das Löschen einer vom Angreifer ausgewählten Serverdatei anzufordern; behoben in 10.0.26 und 11.0.8.

CVE-2026-53629 (CVSS 4.0: 7,1) ist eine SQL-Injection im Tab „Verlauf“, die für Benutzer mit Leserecht (READ) auf Protokolle erreichbar ist; behoben in 10.0.26 und 11.0.8.

CVE-2026-53625 (CVSS 4.0: 7,5) ermöglicht es einem Techniker, über die API die Authentifizierungsmethode eines anderen Benutzers zu ändern, was unter älteren REST-API- oder SSO-Konfigurationen möglicherweise eine Kontoübernahme ermöglicht; behoben in 10.0.26 und 11.0.8.

CVE-2026-49470 (CVSS 4.0: 7,7) weist keine Ratenbegrenzung bei der TOTP-Verifizierung auf, sodass der zweite Faktor per Brute-Force-Angriff kompromittiert werden kann; behoben in 11.0.8.

Nextcloud: CVE-2026-77165 (CVSS 3.0: 6,5) führt dazu, dass TYPE_TOKEN-Sperren von Dateibesitzern nicht entfernt werden können und dass es außerhalb der Datenbank keinen Wiederherstellungsweg gibt. Weder eine korrigierte Version noch eine Problemumgehung wird genannt.

In dieser Reihenfolge patchen

1. Aktualisieren Sie WordPress auf 7.1.2 oder auf die im Sicherheitshinweis aufgeführten korrigierten Backport-Releases, um die ausgenutzte CVE-2026-87902 zu beheben. Die im CISA KEV genannte Frist läuft am 28. September 2026 ab. Dies ist die einzige Schwachstelle in diesem Wochenset, die bekanntermaßen aktiv ausgenutzt wird.

1. Führen Sie für GLPI-Installationen mit Versionen von 11.0.0 bis unter 11.0.8 ein Upgrade auf 11.0.8 durch, um CVE-2026-48482 zu schließen – die kritische Schwachstelle für Remotecodeausführung beim Formularimport.

1. Für GLPI-Installationen mit Versionen von 10.0.0 bis unter 10.0.26 oder von 11.0.0 bis unter 11.0.8 aktualisieren Sie auf 10.0.26 beziehungsweise 11.0.8, um CVE-2026-47679, CVE-2026-53629, CVE-2026-53625 und CVE-2026-53628 zu beheben.

1. Aktualisieren Sie GLPI auf 11.0.8, um CVE-2026-55214, CVE-2026-53610, CVE-2026-53626, CVE-2026-53627 und CVE-2026-49470 zu beheben.

1. Für Nextcloud Server ist für CVE-2026-77165 keine korrigierte Version und keine Problemumgehung aufgeführt. Prüfen Sie, ob Ihre Version im Bereich 32.0.0 bis 34.0.0 liegt, und beobachten Sie, ob eine korrigierte Version veröffentlicht wird.

1. Prüfen Sie die übrigen Sicherheitshinweise mit mittlerem Schweregrad: GHSA-hxfh-hh23-fvch im Frappe Framework (6,1), CVE-2026-96672 in ERPNext (5,3) sowie in GLPI die CVEs CVE-2026-45801, CVE-2026-55217 und CVE-2026-49469. Diese sind weder im CISA KEV enthalten noch als ausgenutzt gemeldet.

Über den Patch hinaus

Da CVE-2026-87902 aktiv ausgenutzt wird, bildet Managed Detection and Response (MDR) die erste Verteidigungslinie für Erkennung und Reaktion bei öffentlich erreichbaren WordPress-Instanzen. Die WordPress-Schwachstelle ist ohne Zugangsdaten über das Netzwerk erreichbar. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, exponierte Assets und Assets mit fehlenden Sicherheitsupdates zu identifizieren, bevor diese angegriffen werden.