WordPress CVE-2026-87902: Path Traversal in get_page_template() wird binnen Stunden nach Patch aktiv ausgenutzt (CVSS 9.2)

TL;DR — 90 Sekunden

CVE-2026-87902 (CVSS 9.2, kritisch) betrifft WordPress 4.7.0 bis 7.1.1. Die Funktion get_page_template() prüft den Theme-Pfad unzureichend: Existiert im aktiven Theme ein Verzeichnis, das mit page- beginnt, kann ein Angreifer per Path Traversal eine beliebige lesbare PHP-Datei außerhalb des Theme-Ordners einbinden lassen. In Kombination mit dem in vielen Installationen erreichbaren pearcmd.php (Teil der PEAR-Bibliothek) lässt sich daraus vollständige Remote Code Execution bauen, ganz ohne Authentifizierung und ohne Interaktion eines Nutzers. Aktive Ausnutzung begann laut Beobachtungen am 22. September 2026 um 11:49 UTC, am selben Tag wie die Patch-Veröffentlichung. Fix: Update auf 7.1.2 (beziehungsweise 7.0.6, 6.9.9 oder 6.8.10 für ältere Linien).

Was ist das Problem?

get_page_template() wählt anhand des angefragten Seitenpfads die passende Theme-Datei aus. Die Funktion prüft dabei nicht ausreichend, ob der resultierende Pfad tatsächlich innerhalb des aktiven Theme-Verzeichnisses liegt. Besitzt das aktive Theme ein Verzeichnis, dessen Name mit page- beginnt, kann ein Angreifer den Lookup mit einer präparierten Anfrage so manipulieren, dass eine beliebige lesbare .php-Datei außerhalb des Theme-Ordners eingebunden und damit ausgeführt wird.

Der beobachtete Angriffsweg nutzt pearcmd.php, ein Kommandozeilenwerkzeug der mitgelieferten PEAR-Bibliothek, das in vielen Installationen unbeachtet im Dateisystem liegt und erreichbar bleibt. Angreifer missbrauchen es, um Dateien mit beliebigem Inhalt nach /tmp oder /var/tmp zu schreiben, und laden anschließend ein Uploader-Skript von einem externen GitHub-Repository nach, um eine vollständige Webshell zu platzieren.

Wer ist betroffen?

Betroffen ist praktisch jede WordPress-Installation im genannten Versionsbereich mit einem passend benannten Theme-Verzeichnis. Installationen mit automatischen Hintergrund-Updates haben den Patch in der Regel bereits erhalten. Sites mit deaktivierten Auto-Updates oder manuell verwalteten Instanzen bleiben verwundbar, bis manuell aktualisiert wird.

Auswirkungen

Die Lücke erfordert weder Authentifizierung noch Interaktion eines Nutzers und ist vollständig aus der Ferne ausnutzbar. Eine erfolgreiche Ausnutzung führt zu Remote Code Execution mit den Rechten des Webserver-Prozesses und damit potenziell zur vollständigen Übernahme der Installation, einschließlich Datenbankzugriff, Auslesen von Konfigurationsdateien und Ablage dauerhafter Webshells. Da die Ausnutzung bereits Stunden nach Bekanntwerden begann und laut Berichten bis mindestens zum 24. September 2026 anhält, handelt es sich um eine aktiv unter Beschuss stehende Lücke und nicht nur um ein theoretisches Risiko.

Mitigation / Sofortmaßnahmen

Aktualisieren Sie umgehend auf WordPress 7.1.2 beziehungsweise die passende gepatchte Version Ihrer Linie (7.0.6, 6.9.9, 6.8.10). Installationen mit aktivierten automatischen Hintergrund-Updates haben den Patch in der Regel bereits erhalten, eine manuelle Kontrolle ist dennoch sinnvoll.

# Version prüfen (WP-CLI)
wp core version

# Sofort aktualisieren
wp core update
wp core update-db

# pearcmd.php entfernen oder Zugriff blockieren, sofern nicht benötigt
rm wp-includes/pear/PEAR/Command.php 2>/dev/null
# alternativ per Webserver-Regel sperren (Beispiel nginx)
location ~* /wp-includes/pear/.*\.php$ { deny all; }

Prüfen Sie zusätzlich, ob Ihr aktives Theme ein Verzeichnis besitzt, dessen Name mit page- beginnt, und ob dort tatsächlich Template-Logik benötigt wird. Sperren Sie generell die PHP-Ausführung in Upload- und temporären Verzeichnissen (wp-content/uploads, /tmp, /var/tmp) auf Webserver-Ebene, unabhängig von dieser konkreten Lücke.

Detection / Prüfung

Prüfen Sie das Dateisystem auf bekannte Artefakte dieser Kampagne:

# Bekannte Datei-Indikatoren suchen
find / -iname "wp-pear-rce-flag.php" -o -iname "poc87902.php" 2>/dev/null
find / -regextype posix-extended -regex '.*/(luci|zeta)_[A-Za-z0-9]+\.php' 2>/dev/null

# Zugriffslogs auf pearcmd.php und ungewöhnliche Query-Strings prüfen
grep -i "pearcmd.php" /var/log/nginx/access.log
grep -E "page-[a-z0-9%.\/]+\.php" /var/log/nginx/access.log

Bekannte Quell-IP-Adressen aus der aktuellen Kampagne umfassen unter anderem 104.194.9.227, 43.250.53.42, 180.251.159.243, 195.178.110.247, 107.189.14.87 und 45.61.184.170 sowie mehrere indonesische Adressblöcke. Prüfen Sie zudem ausgehende Verbindungen zu raw.githubusercontent.com, insbesondere zu Repositories mit Webshell-Inhalt, da dieser Weg zum Nachladen der Payload beobachtet wurde.

Betreiberempfehlung

Akut handeln, wenn: Sie eine WordPress-Instanz zwischen 4.7.0 und 7.1.1 betreiben und noch nicht auf den Patch aktualisiert haben. Patchen Sie sofort und prüfen Sie anschließend auf die genannten Kompromittierungs-Indikatoren, da die Lücke bereits aktiv ausgenutzt wird.

Beobachten genügt, wenn: Ihre Installation bereits auf 7.1.2 oder höher aktualisiert wurde und die Detection-Prüfung keine Auffälligkeiten zeigt. Behalten Sie automatische Updates aktiviert, um zukünftige ähnliche Lücken schneller zu schließen.

Fazit

CVE-2026-87902 zeigt ein bekanntes Muster: eine harmlos wirkende Pfadfunktion, eine ungenutzte, aber erreichbare Hilfsdatei, und binnen Stunden aktive Ausnutzung im offenen Internet. Für Betreiber beliebiger PHP-basierter CMS-Systeme, nicht nur WordPress, bleibt die Lehre dieselbe: Automatische Updates sind kein Nice-to-have, und mitgelieferte, nicht benötigte CLI-Werkzeuge gehören aus dem erreichbaren Webroot entfernt oder gesperrt.

Quellen

• Help Net Security: CVE-2026-87902 — WordPress 7.1.2 security release
• The Hacker News: Attackers Exploit WordPress CVE-2026-87902 Within Hours of Disclosure
• daily.dev: Hackers start exploiting critical WordPress flaw for code execution