CVE-2026-87902: Kritische WordPress-Lücke in Seitenvorlagen wird aktiv ausgenutzt

Ihre WordPress-Website läuft, das Theme sieht gut aus, und das letzte Update haben Sie irgendwann im Frühjahr eingespielt. Was Sie vielleicht nicht wissen: Wenn Ihr aktives Theme ein Verzeichnis trägt, das mit „page-" beginnt – und das trifft auf mehrere verbreitete Themes zu – dann könnte ein nicht angemeldeter Angreifer eine lokale PHP-Datei auf Ihrem Server einbinden, ohne einen Benutzernamen oder ein Passwort zu benötigen.

Genau das beschreibt CVE-2026-87902, eine kritische Schwachstelle in WordPress 7.1.1 und älteren Versionen, die am 22. September 2026 mit dem Sicherheitsrelease 7.1.2 geschlossen wurde. Die CISA hat die Lücke am 25. September 2026 in ihren Katalog bekannt ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen – ein deutliches Signal, dass die Ausnutzung im Feld beobachtet wird.

Dieser Artikel erklärt, was die Lücke technisch ermöglicht, welche Voraussetzungen auf Ihrem Server erfüllt sein müssen, welche Themes betroffen sind und was jetzt konkret zu tun ist.

---

Was CVE-2026-87902 technisch bedeutet

Die Schwachstelle steckt in der Art, wie WordPress Seitenvorlagen (Page Templates) auflöst. Ruft jemand eine Seite mit einem bestimmten Template-Parameter auf, sucht WordPress nach einer passenden PHP-Datei – und tut das, ohne den Aufrufer zu authentifizieren.

Das Problem: Die Auflösungslogik beschränkt die Suche nicht zuverlässig auf das Theme-Verzeichnis. Ein nicht angemeldeter Angreifer kann die Suche so manipulieren, dass WordPress stattdessen eine lesbare PHP-Datei außerhalb der Theme-Verzeichnisse einbindet. Das entspricht dem Angriffsmuster einer lokalen Dateieinbindung (Local File Inclusion, LFI) – klassifiziert unter CWE-98.

Das GitHub Advisory GHSA-7hp8-65ch-5whp bewertet die Lücke mit CVSS v4.0 Basiswert 9.2 (Vektor AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) und stuft sie als „Critical" ein. WordPress selbst bezeichnet den Release als kritisch. Gemeldet hat die Lücke Robert Ressl.

Wann die Einbindung zur Codeausführung wird

Eine lokale Dateieinbindung allein ist bereits ein ernstes Problem, weil sie einem Angreifer erlaubt, Konfigurationsdaten, Zugangsdaten oder interne Dateien zu lesen. Unter bestimmten Voraussetzungen geht die Wirkung jedoch weiter: Bis zur Ausführung von PHP-Code ist es möglich, wenn auf dem Server eine geeignete, lesbare PHP-Datei liegt.

Das Advisory nennt pearcmd.php als konkretes Beispiel – eine Datei, die im offiziellen PHP-Docker-Image und in Standard-cPanel-Konfigurationen (PHP vor 8.5) vorhanden ist. Voraussetzung für diesen Pfad ist zusätzlich, dass register_argc_argv in der PHP-Konfiguration aktiv ist. Das ist in bestimmten Hosting-Umgebungen der Fall, aber nicht universell.

Die Lücke erfordert also ein Zusammenspiel mehrerer Faktoren:

Voraussetzung	Relevanz
Aktives (Child-)Theme mit Verzeichnis, dessen Name mit „page-" beginnt	Pflicht für die Ausnutzbarkeit
Lesbare PHP-Datei außerhalb des Theme-Verzeichnisses (z. B. pearcmd.php)	Notwendig für LFI bis zur Codeausführung
register_argc_argv in PHP aktiv	Voraussetzung für Codeausführung via pearcmd.php
PHP-Docker-Image oder Standard-cPanel-Konfiguration (PHP < 8.5)	Typische Umgebung, in der pearcmd.php vorhanden ist
WordPress-Version 4.7.0 bis 7.1.1	Betroffen

Diese Kombination ist kein Randfall. Managed-Hosting-Umgebungen mit cPanel sind weit verbreitet, und Docker-basierte PHP-Deployments sind in modernen Setups Standard.

Welche Themes betroffen sind

Das Advisory nennt explizit Themes, deren Verzeichnis auf oberster Ebene mit „page-" beginnt. Darunter fallen zwei ältere WordPress-Standardthemes – Twenty Twelve und Twenty Fourteen – sowie populäre Themes wie Neve, Hestia und Sydney. Die Gemeinsamkeit: Alle legen bei der Installation ein Verzeichnis an, das diese Namenskonvention erfüllt.

Entscheidend ist dabei, ob das Theme aktuell aktiv ist. Ein deaktiviertes Theme, das nur noch auf dem Server liegt, löst die Voraussetzung laut Advisory nicht aus. Ein Child-Theme ist ebenfalls relevant, wenn sein eigenes Verzeichnis die Präfix-Bedingung erfüllt.

Wenn Sie unsicher sind, welches Theme auf Ihrer WordPress-Installation aktiv ist und wie das entsprechende Verzeichnis heißt: Das lässt sich im WordPress-Dashboard unter „Design" → „Themes" prüfen, und der tatsächliche Verzeichnisname liegt unter wp-content/themes/.

---

Warum die KEV-Aufnahme ein klares Signal ist

Die CISA pflegt den KEV-Katalog primär als Verpflichtungsliste für US-Bundesbehörden, aber die Aufnahme einer Lücke ist auch für privatwirtschaftliche Betreiber ein belastbares Warnsignal: Sie setzt voraus, dass aktive Ausnutzung im Feld belegt ist.

CVE-2026-87902 wurde am 25. September 2026 unter dem Eintrag „WordPress Core Remote File Inclusion Vulnerability" aufgenommen – nur drei Tage nach dem Patch. Das deutet darauf hin, dass zwischen Veröffentlichung des Advisories und aktiver Ausnutzung sehr wenig Zeit verging.

Zum Vergleich: Die im selben Zeitraum veröffentlichte Race-Condition-Lücke CVE-2026-119977 (behoben in WordPress 7.1.4, veröffentlicht am 28. Oktober 2026) steht nicht im KEV-Katalog. Das unterscheidet die beiden Lücken wesentlich: CVE-2026-87902 ist diejenige, bei der nachgewiesene Ausnutzung dokumentiert ist.

---

Welche Versionen betroffen sind – und was den Schutz schließt

Betroffen: WordPress 4.7.0 bis 7.1.1 (einschließlich).

Geschlossen durch: WordPress 7.1.2 (veröffentlicht am 22. September 2026) sowie die dazugehörigen Backports für ältere Versionszweige, darunter 7.0.6, 6.9.9, 6.8.10, 6.7.9 und weitere bis hinunter zu 4.7.37.

Wer bereits auf WordPress 7.1.4 (veröffentlicht am 28. Oktober 2026) aktualisiert hat, hat die Lücke ebenfalls geschlossen – 7.1.4 enthält alle Korrekturen der vorherigen Sicherheitsreleases. Wer den Backport seines jeweiligen Versionszweigs aus dem 28. Oktober 2026 eingespielt hat, ist ebenso geschützt.

Ein häufiges Missverständnis: Automatische Hintergrund-Updates installieren Sicherheitsreleases in der Regel automatisch – aber ob das tatsächlich geklappt hat, muss manuell geprüft werden. Netzwerkprobleme, deaktivierte Updates oder Konflikte mit Plugins können dazu führen, dass die automatische Aktualisierung ausgeblieben ist. Die aktuelle Version steht im WordPress-Dashboard unter „Dashboard" → „Aktualisierungen".

---

Praxisbeispiel: Wie die Risikobewertung in einem typischen KMU-Szenario aussieht

Stellen Sie sich einen mittelständischen Betrieb vor, der seine Unternehmenswebsite auf einem Managed-WordPress-Hosting bei einem deutschen Anbieter mit cPanel betreibt. Das aktive Theme heißt „Neve" – ein verbreitetes, gut bewertetes Theme, das sein Verzeichnis als neve ablegt. Das Verzeichnis beginnt jedoch nicht mit „page-", sodass die spezifische Voraussetzung dieser Lücke nicht erfüllt wäre.

Anders sähe es aus, wenn das Unternehmen ein Child-Theme namens page-corporate oder ein älteres Theme wie „Twenty Twelve" (Verzeichnisname: twentytwelve) aktiv hätte. Hier greift die Namenskonvention nicht, weil twentytwelve nicht mit „page-" beginnt. Entscheidend ist wirklich der exakte Verzeichnisname.

Das Advisory nennt ausdrücklich, dass Themes wie Neve, Hestia und Sydney die Bedingung erfüllen – was bedeutet, dass der tatsächliche Verzeichnisname dieser Themes mit „page-" beginnt, nicht der Anzeigename im Dashboard. Diese Unterscheidung ist praktisch wichtig: Der Anzeigename und der Verzeichnisname können voneinander abweichen.

Ein realistisches Angriffsszenario setzt voraus, dass auf demselben Server pearcmd.php liegt und register_argc_argv aktiv ist. In einer Standard-cPanel-Umgebung mit PHP unter 8.5 ist beides denkbar. Wer PHP 8.5 oder neuer einsetzt oder register_argc_argv in der php.ini deaktiviert hat, schränkt den Wirkradius der Lücke auf Dateilesen ein – was immer noch ein ernstes Problem, aber kein direkter Weg zur Codeausführung ist.

---

Was jetzt zu prüfen und zu tun ist

Schritt 1: WordPress-Version prüfen

Öffnen Sie das Dashboard und navigieren Sie zu „Dashboard" → „Aktualisierungen". Die angezeigte Version muss 7.1.2 oder höher sein. Alternativ: Im Verzeichnis wp-includes/version.php steht die $wp_version. Alles unterhalb von 7.1.2 ist unmittelbar zu aktualisieren.

Schritt 2: Aktives Theme und Verzeichnisnamen prüfen

Rufen Sie im Dashboard „Design" → „Themes" auf. Notieren Sie den Namen des aktiven Themes. Prüfen Sie dann per FTP, SSH oder im Dateimanager des Hosting-Panels, wie das Verzeichnis unter wp-content/themes/ tatsächlich heißt. Beginnt der Verzeichnisname mit „page-", ist die Voraussetzung für CVE-2026-87902 auf Ihrer Installation erfüllt.

Schritt 3: PHP-Konfiguration prüfen

Mit phpinfo() oder per SSH (php -i | grep register_argc_argv) lässt sich prüfen, ob register_argc_argv aktiv ist. Ist es aktiv und liegt pearcmd.php auf dem Server (typischerweise unter /usr/share/php/pearcmd.php oder im PHP-Systemverzeichnis), ist das Risiko für Codeausführung konkret erhöht.

Schritt 4: Aktualisieren – auch wenn die Voraussetzungen nicht erfüllt scheinen

Unabhängig davon, ob die Theme-Bedingung auf Ihrem Server zutrifft: WordPress 7.1.2, 7.1.4 oder den passenden Backport einzuspielen ist der richtige Schritt. Die Lücke ist KEV-gelistet, und spätere Versionen schließen zusätzliche Lücken.

Schritt 5: PHP-Konfiguration härten

Wenn register_argc_argv nicht für Ihre Anwendung benötigt wird, setzen Sie es in der php.ini auf Off. Das schränkt den beschriebenen Angriffspfad ein. Ob pearcmd.php auf Ihrem Server liegt und ob Sie es benötigen, klärt Ihr Hoster oder Ihr IT-Dienstleister.

---

Zusammenhang mit WordPress 7.1.4 und CVE-2026-119977

Wer beim Lesen dieses Artikels prüft, ob sein WordPress aktuell ist, stößt möglicherweise auch auf die Meldungen zu WordPress 7.1.4 (veröffentlicht am 28. Oktober 2026). Dieses Release behebt 22 Sicherheitslücken, darunter als schwerste eine Race Condition beim Core-Update (CVE-2026-119977).

CVE-2026-119977 ist konzeptionell anders als CVE-2026-87902: Die Race Condition erfordert ein sehr enges Zeitfenster während eines laufenden Updates, öffentlichen Webzugriff auf ein temporäres Verzeichnis und einen vorhersagbaren Pfad. Wordfence bewertet sie mit CVSS 3.1 Basiswert 8.1 „High", während das WordPress-eigene GitHub-Advisory sie als „Low" einstuft. CVE-2026-119977 steht nicht im KEV-Katalog.

Für die Prioritätensetzung gilt damit: CVE-2026-87902 ist die Lücke mit belegter aktiver Ausnutzung und niedrigerer Angriffskomplexität (CVSS-Vektor AC:L). CVE-2026-119977 hat eine höhere Angriffskomplexität und ist nach aktuellem Stand nicht als aktiv ausgenutzt dokumentiert.

Wer auf 7.1.4 aktualisiert, schließt beide Lücken. Wer sich aktuell auf Version 7.1.2 oder 7.1.3 befindet, hat CVE-2026-87902 bereits adressiert, aber noch nicht die Lücken aus 7.1.4.

Eine detaillierte Einordnung beider Sicherheitsreleases und eine Checkliste für die Prüfung Ihrer gesamten WordPress-Installation finden Sie im Übersichtsartikel WordPress-Sicherheitslücken 2026: Was Unternehmen nach 7.1.2 und 7.1.4 jetzt prüfen müssen.

---

Wann externe Unterstützung sinnvoll ist

Wer selbst einen SSH-Zugang hat, PHP-Konfigurationsdateien bearbeiten kann und das WordPress-Dashboard verwaltet, kann die oben beschriebenen Schritte eigenständig durchführen. Die technischen Anforderungen sind überschaubar.

Sinnvoll ist externe Unterstützung, wenn:

• Kein direkter Zugang zur Serverebene besteht und unklar ist, welche PHP-Dateien vorhanden sind
• Das Hosting-Paket eine ältere PHP-Version mit aktiven Standardkonfigurationen mitbringt
• Das Update nicht automatisch eingespielt wurde und unklar ist, warum
• Eine Prüfung auf Kompromittierung (unbekannte Admin-Konten, unerwartete PHP-Dateien, verdächtige Zugriffslog-Einträge) gewünscht ist
• Mehrere WordPress-Installationen parallel betrieben werden

In diesen Fällen führt SW Business Solutions eine strukturierte Prüfung durch: Theme-Verzeichnis, PHP-Konfiguration, Version und – soweit relevant – Serverumgebung. Das Ergebnis ist ein klares Bild, ob die Voraussetzungen für CVE-2026-87902 auf Ihrer Installation erfüllt waren oder sind, und ein dokumentierter Abschluss der Absicherung.

Wenn Sie Ihre WordPress-Sicherheit professionell prüfen und dauerhaft absichern lassen möchten, ist das der richtige erste Schritt – besonders dann, wenn Ihre Website geschäftskritische Daten verarbeitet oder Kundenkontakt herstellt.

Für Unternehmen, die grundsätzlich über den Betrieb ihrer IT-Infrastruktur nachdenken und prüfen möchten, ob ein externer Partner die laufende Betreuung übernehmen soll, bietet unser Artikel zu Managed IT-Services für den Mittelstand eine strukturierte Entscheidungsgrundlage.

---

WordPress langfristig: Ist die Plattform die richtige Wahl?

CVE-2026-87902 ist kein Einzelfall. WordPress als meistverbreitetes CMS der Welt ist ein dauerhaftes Angriffsziel – nicht weil die Plattform grundsätzlich unsicher wäre, sondern weil die Verbreitung die Anreize für Angreifer erhöht. Wer WordPress produktiv betreibt, muss einen zuverlässigen Update-Prozess haben.

Wer die Architekturentscheidung grundsätzlich hinterfragen möchte, findet in unserem Vergleich Next.js vs. WordPress: Was ist besser für Ihre Unternehmenswebsite? eine ehrliche Gegenüberstellung – inklusive der Fälle, in denen WordPress weiterhin die pragmatischere Wahl ist.

Für Betreiber, die PHP-basierte Anwendungen auf neuere Architekturen umstellen oder ihre bestehende Codebasis absichern möchten, beschreibt unser Artikel zu DevSecOps für Webanwendungen, wie Sicherheitsupdates, Abhängigkeiten und Schwachstellen dauerhaft kontrolliert werden.

---

Nächster Schritt

Prüfen Sie heute, welche WordPress-Version auf Ihrer Website läuft und wie das Verzeichnis Ihres aktiven Themes heißt. Beides dauert unter zwei Minuten.

Wenn Sie dabei Unterstützung benötigen oder eine vollständige Prüfung auf CVE-2026-87902 und die Folgelücken aus 7.1.4 wünschen, nehmen Sie Kontakt mit SW Business Solutions auf. Wir prüfen Theme, PHP-Konfiguration und Version und schließen die Lücke kontrolliert – ohne Betriebsunterbrechung.