Dieses Sicherheitsupdate enthält eine Korrektur für eine Sicherheitslücke mit kritischem Schweregrad.
Da es sich um ein Sicherheitsupdate handelt, wird empfohlen, deine Websites umgehend zu aktualisieren.
Du kannst WordPress 7.1.2 von WordPress.org herunterladen oder in deinem WordPress-Dashboard auf „Aktualisierungen“ und anschließend auf „Auf Version 7.1.2–de_DE aktualisieren“ klicken. Wenn deine Websites automatische Hintergrund-Updates unterstützen, wird der Aktualisierungsvorgang automatisch gestartet.
In diesem Update enthaltene Sicherheitskorrektur
Das Sicherheitsteam bedankt sich bei Robert Ressl für die verantwortungsvolle Offenlegung der Tatsache, dass ein nicht authentifizierter Angreifer unter bestimmten Bedingungen bewirken kann, dass bei der Auflösung von Seitenvorlagen eine ausgewählte, lesbare lokale PHP-Datei außerhalb der Verzeichnisse des aktiven Themes einbezogen wird. Sind die entsprechenden Voraussetzungen sowohl für die Serverumgebung als auch für das aktive Theme erfüllt, kann dies zur Remote-Code-Ausführung (RCE) führen.
Vielen Dank an diese WordPress-Mitwirkenden
Diese Version wurde von John Blackbourn geleitet. WordPress 7.1.2 wäre ohne die Beiträge der folgenden Personen nicht möglich gewesen:
Aaron Jorbin, Aki Hamano, Alex Concha, Ehtisham Siddiqui, fiocavallari, Jb Audras, Jeffrey Paul, Jeremy Felt, Joe McGill, John Blackbourn, Lance Willett, Manuel Camargo, marcs0h, martin.krcho, Mukesh Panchal, Olga Gleckler, Pascal Birchler, Peter Wilson, Rajin Sharwar, Ressl, Shail Mehta, Stephanie Walters und vortfu.
CVE- und GHSA-Referenzen
Weitere Details findes du in der Sicherheitsmitteilung: CVE-2026-87902 / GHSA-7hp8-65ch-5whp.
Backports
Als Service wird der Sicherheitspatch auf alle Zweige zurückportiert, die für Sicherheitspatches in Frage kommen (derzeit bis einschließlich 4.7). Zur Erinnerung: Nur die aktuellste Version von WordPress wird aktiv unterstützt. Die Backports sind in Arbeit und werden veröffentlicht, sobald sie fertig sind.
