WordPress-Lücke CVE-2026-64638: XSS wird zur Server-Übernahme
Veröffentlicht am: 09.08.2026 um 17:41 Uhr | Redaktion boerse-global.de
Angreifer können über eine Schwachstelle im WordPress-Core die Kontrolle über komplette Websites übernehmen. Die als „XSS2Shell" bekannte Sicherheitslücke wurde bereits geschlossen, doch die Zeit drängt.
Vom Login-Fehler zur kompletten Server-Kontrolle
Die als CVE-2026-64638 registrierte Schwachstelle betrifft alle WordPress-Installationen bis Version 7.0.2. Der Angriffsweg beginnt als klassisches Cross-Site-Scripting-Problem auf der Login-Seite. Doch anders als bei üblichen XSS-Lücken können Angreifer diesen Fehler nutzen, um weit darüber hinauszugehen.
Die Angriffskette nutzt eine Technik namens DOM Clobbering. Dabei manipulieren Angreifer das Document Object Model, um an ein Administrator-Passwort zu gelangen. Mit diesen Zugangsdaten umgehen sie die normale Authentifizierung und laden eine schadhafte Plugin-Datei hoch, die PHP-Code enthält. Aus einer reinen Client-Attacke wird so eine vollständige Server-Übernahme.
Der erste Schritt erfordert keine Benutzerinteraktion. Für die komplette Angriffskette muss jedoch ein Administrator aktiv werden. Bislang gibt es keine bestätigten Angriffe in freier Wildbahn, allerdings kursieren bereits technische Machbarkeitsnachweise im Netz.
Dringender Patch-Zwang für Website-Betreiber
Das WordPress-Sicherheitsteam reagierte mit einer Notfall-Aktualisierung auf Version 7.0.3. Auch ältere Systeme bleiben nicht außen vor: Für die Version 4.7.34 wurde der Fix ebenfalls bereitgestellt.
Angesichts immer komplexerer Bedrohungslagen müssen Unternehmen ihre IT-Infrastruktur heute proaktiv schützen, um Sicherheitslücken rechtzeitig zu schließen. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberbedrohungen und zeigt praxisnahe Schutzmaßnahmen für Betriebe auf. Gratis-E-Book: Cyber-Security-Trends jetzt herunterladen
Das italienische Computer-Notfallteam CERT-AGID drängt insbesondere Betreiber öffentlicher Verwaltungswebsites zum sofortigen Update. Sicherheitsexperten raten darüber hinaus, Websites auf unbekannte Anwendungspasswörter, verdächtige Plugins oder Web-Shells zu prüfen – mögliche Anzeichen für eine bereits erfolgte Kompromittierung.
Weitere Schwachstellen im Fokus der Behörden
Die WordPress-Lücke reiht sich ein in eine Serie kritischer Sicherheitslücken. Die US-Behörde CISA hat ihren Katalog bekannter ausgenutzter Schwachstellen erweitert:
- CVE-2026-8037: Ein kritischer Command-Injection-Fehler im Progress LoadMaster mit einem CVSS-Score von 9,6. Aktive Angriffe laufen seit Ende Juni, Bundesbehörden müssen bis zum 10. August patchen.
- CVE-2026-12569: Eine Remote-Code-Execution-Lücke in PTC Windchill, die Angreifer zum Einschleusen von JSP-Web-Shells nutzen.
- CVE-2026-18577: Ein Exploit gegen N-able N-central, der Angreifern Administratorzugang und dauerhafte Kontrolle über verschlüsselte Tunnel verschafft.
Neben technischen Schwachstellen rücken auch gezielte Angriffe auf Mitarbeiter, wie etwa Phishing-Versuche, immer stärker in den Fokus der Cyberkriminellen. Ein kostenloses Anti-Phishing-Paket unterstützt Organisationen dabei, manipulative Taktiken frühzeitig zu entlarven und die eigene Abwehr zu stärken. Kostenlosen Leitfaden zur Hacker-Abwehr sichern
Unterdessen sorgte die Ransomware-Gruppe Qilin für Schlagzeilen: Ihr wird ein Angriff auf eine Organisation in Haiti zugeschrieben. Der Vorfall unterstreicht, dass professionelle Angreifer weiterhin gezielt Unternehmensinfrastruktur ins Visier nehmen.
Für deutsche Website-Betreiber gilt: WordPress-Updates umgehend einspielen und Sicherheitsprotokolle prüfen. Die Angriffsfläche ist real – und die Zeitfenster für Patches werden nicht größer.
