---

📌 Überblick

CVE-2026-64638 ist eine Reflected-XSS-Schwachstelle (Cross-Site-Scripting) vor der Authentifizierung mit hohem Schweregrad, die den WordPress-Anmeldebildschirm betrifft.

Unter bestimmten Bedingungen kann der Fehler zu Remote Code Execution (RCE) auf dem Server verkettet werden (Forscher nennen die Kette XSS2Shell).

---

🔍 Technische Zusammenfassung

Die Schwachstelle liegt in der Art und Weise, wie WordPress den Benutzernamen bei einem fehlgeschlagenen Anmeldeversuch verarbeitet.

• Die Eingabe durchläuft sanitize_user() und wp_strip_all_tags() (das auf PHPs strip_tags() basiert).
• Die spätere Verarbeitung mit wp_kses_post() ermöglicht es bestimmten tag-ähnlichen Payloads, die Leerzeichen enthalten, zu überleben und zu Live-DOM-Elementen zu werden.
• Diese Elemente interagieren mit dem eigenen JavaScript von WordPress (user-profile.js), das auf der Anmeldeseite geladen wird.
• Angreifer können REST-API-/JSONP-Verhalten und Same-Origin-Techniken ausnutzen, um weiter zu eskalieren.

Der vollständige RCE-Pfad erfordert:

1. Ein Opfer, das bereits als Administrator einer einzelnen Website angemeldet ist
2. Explizite Interaktion (in der Regel ein Klick) mit einer vom Angreifer kontrollierten Seite
3. Bestimmte WordPress-Funktionen müssen vorhanden sein (Application Passwords, Plugin-Upload-Fähigkeit usw.)

⚠️ WordPress weist darauf hin, dass eine erfolgreiche Eskalation zu RCE von Bedingungen abhängt, die außerhalb der vollständigen Kontrolle des Angreifers liegen, und Social Engineering erfordert.

---

📦 Betroffene & gepatchte Versionen

• Alle Versionen von 4.7.0 bis 7.0.2 sind betroffen.
• Versionen älter als 4.7 bleiben verwundbar, liegen jedoch außerhalb des aktuellen Backport-Supports.

---

✅ Gegenmaßnahmen & Empfehlungen

🚨 Sofort aktualisieren

• Aktualisieren Sie auf WordPress 7.0.3 (oder den entsprechenden Sicherheits-Release Ihres Zweigs).
• Websites mit aktivierten automatischen Hintergrundupdates sollten den Fix automatisch erhalten.
• Verlassen Sie sich nicht ausschließlich auf Härtungs-Plugins oder CSP als vollständige Gegenmaßnahme — der Kern-Patch ist erforderlich.
• Weisen Sie Administratoren an, keine unaufgeforderten Links anzuklicken, während sie im WordPress-Dashboard angemeldet sind.

---

📎 Offizielle Referenzen

• GitHub-Sicherheitshinweis
  GHSA-52p2-r8wf-jcrf

• WordPress-7.0.3-Release
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• Technische Analyse
  The Hacker News – Neues WordPress-Pre-Auth-XSS

---