Sicherheitslücke · critical · CVSS 9.8
WordPress: Zwei Sicherheitslücken CVE-2026-119977 und CVE-2026-100109
Tier A · Heute patchen – Vor dem Feierabend
Wer betroffen ist: WordPress-Administratoren mit betroffenem Core-Update oder Sicherheitsplugin
Tier A, weil: Kerninfrastruktur oder verbreitetes Werkzeug UND wird ausgenutzt
Reichweite
Angriff
Schaden
Fix
Verbreitetes Werkzeug · Wird ausgenutzt · Exploit öffentlich · Aus der Ferne, ohne Login · Volle Übernahme
Was zu tun ist
- Auf verfügbare Updates für WordPress-Core und installierte Plugins prüfen
Kurz gesagt
- Zwei Sicherheitslücken im WordPress-Umfeld: CVE-2026-119977 betrifft das Core-Update in bestimmten Konstellationen.
- CVE-2026-100109 wird als kritisch eingestuft; die Quelle nennt eine Security-Komponente im WordPress-Umfeld, der Text ist aber abgeschnitten.
- Die Quelle nennt keine CVSS-Werte und keine Angaben zu aktiver Ausnutzung oder verfügbaren Patches.
Warum es wichtig ist
Wer WordPress administriert, sollte prüfen, ob Core-Updates und installierte Plugins betroffen sind. Ob bereits ein Patch verfügbar ist, geht aus der Quelle nicht hervor.
Die Checkliste hinter dem Tier
Checkliste · 6 von 10 mit Ja
| Ja | Trifft Tech-Teams | Judgment: WordPress wird von Entwicklern und Ops-Teams betrieben und ist betroffen. |
| Nein | Kerninfrastruktur | Judgment: WordPress ist ein einzelnes CMS, keine Kerninfrastruktur wie OpenSSH oder glibc. |
| Ja | Verbreitetes Werkzeug | Judgment: WordPress ist eines der weitverbreitetsten Content-Management-Systeme weltweit. |
| Ja | Wird ausgenutzt | CISA SSVCCISA stuft die Ausnutzung von CVE-2026-119977 als aktiv ein |
| Ja | Exploit öffentlich | CVE.orgDer Eintrag zu CVE-2026-100109 verlinkt einen Exploit: wpscan.com |
| Ja | Aus der Ferne, ohne Login | CVSSCVE-2026-119977: CVSS 8.1 – übers Netz, ohne Rechte, ohne Zutun des Nutzers |
| Ja | Volle Übernahme | CVSSCVE-2026-119977: CVSS bewertet die Auswirkung auf Vertraulichkeit und Integrität als hoch |
| Nein | Geheimnisse offengelegt | Borns IT- und Windows-Blog: Keine Angaben zu gestohlenen Zugangsdaten oder Daten. |
| Nein | Lieferkette | Borns IT- und Windows-Blog: Keine Kompromittierung von Paketen, Updates oder Build-Pipelines genannt. |
| Nein | Noch kein Fix | Borns IT- und Windows-Blog: Kein Hinweis auf fehlenden Fix; Core-Update wird als Kontext genannt. |
Der offizielle Eintrag
Aus CVE.org, CISAs Katalog der Known Exploited Vulnerabilities, FIRST EPSS und der GitHub Advisory Database. Wo diese einen Fakt der Checkliste beantworten, gehen sie der Berichterstattung vor.
CVE-2026-119977 ↗CVSS 8.1 high AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution
- Ausgenutzt
- Laut CISA aktiv ausgenutzt
- EPSS
- 1.2% Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen · höher als bei 67% aller CVEs
- Schwachstelle
- CWE-367
CVE-2026-100109 ↗CVSS 9.8 critical AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Security For WooCommerce 1.0.10 - 1.0.16 - Unauthenticated Privilege Escalation via usfw_create_temporary_user
- Ausgenutzt
- Nicht in CISAs Katalog ausgenutzter Lücken
- EPSS
- <1% Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen · höher als bei 31% aller CVEs
- Schwachstelle
- CWE-862
Quelle
WordPress Schwachstellen CVE-2026-119977 u. CVE-2026-100109 ↗ Borns IT- und Windows-Blog · vor 1 Tag
Zuerst gesehen · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden