WordPress stopft Comment2Shell, eine Kommentar-Lücke, die zur Server-Übernahme führen kann

WordPress hat am 17. September 2026 Version 7.1.1 veröffentlicht, und es ist nicht das routinemäßige Wartungsupdate, das seine Versionsnummer nahelegt. Die Veröffentlichung enthält neben Fehlerkorrekturen elf Sicherheitsfixes, und der schwerwiegendste davon ist eine gespeicherte Cross-Site-Scripting-Lücke, die ein anonymer Besucher über einen gewöhnlichen Kommentar auslösen kann. Die Schwachstelle, geführt als CVE-2026-93485, trägt den Spitznamen Comment2Shell wegen dessen, wohin sie führen kann: von einem Kommentar in der Moderationswarteschlange zu Code, der auf dem Server läuft.

Zum Weiterlesen: Check Point schließt zwei VPN-Lücken der Schwere 9,8, die nicht authentifizierte Codeausführung erlauben · SAP schließt eine Kernel-Lücke mit CVSS 10.0, die keine Zugangsdaten erfordert.

Die Lücke sitzt in wpautop(), der WordPress-Funktion, die Zeilenumbrüche in Text in Absatz-Markup umwandelt. WordPress leitet Kommentartext vor der Anzeige durch sie, und der Fehler erlaubt einem Besucher ohne Konto, ein Skript zu platzieren, das den Kommentar-Sanitizer der Seite, wp_kses(), passiert, weil nichts in der Nutzlast wie das Markup aussieht, das der Sanitizer entfernen soll. Gefährlich wird das Skript erst später, wenn der Kommentar gerendert wird und die Anzeigefilter den Text neu anordnen.

Die Schwachstelle wurde am 15. September 2026 von dem Sicherheitsforscher Rafie Muhammad von Awesome Motive über das Vulnerability-Disclosure-Programm von Patchstack gemeldet. WordPress lieferte den Fix zwei Tage später aus, und Patchstack veröffentlichte ihn am 18. September in seiner Datenbank. Die vollständige Veröffentlichung enthielt neben der Sicherheitsarbeit 17 Fehlerkorrekturen im Kern und 21 Korrekturen im Block-Editor.

Was diese Lücke anders macht

WordPress liefert regelmäßig Sicherheitsfixes aus, und die meisten erfordern für ihre Ausnutzung ein gewisses Maß an Zugriff. Diese hier nicht. CVE-2026-93485 wird mit 7.1 auf der CVSS-3.1-Skala bewertet, mit einem Vektor aus netzwerkerreichbar, geringer Komplexität, ohne erforderliche Berechtigungen und der Bedingung, dass jemand die Nutzlast ansieht. Sie ist die einzige der elf Probleme in der Veröffentlichung, die ein Angreifer ohne Konto erreichen kann; die meisten anderen erfordern einen angemeldeten Nutzer mit mindestens Contributor-Zugriff.

Die Analyse von Patchstack ist deutlich, was die Moderationssicherung angeht. Die Versionshinweise von WordPress beschreiben die Lücke als der Kommentar-Genehmigung unterworfen, was beruhigend klingt. Der CVE-Eintrag ist es weniger: Er besagt, dass das Problem auf einer Standardinstallation reproduzierbar ist, weil die manuelle Kommentarmoderation standardmäßig aus ist und die Einstellung, die einen Erstkommentator zur Prüfung zurückhält, umgangen werden kann. Das bedeutet, dass eine Nutzlast auf einer unveränderten Seite die Moderationswarteschlange erreichen kann, und ein Angreifer, dessen Kommentar zuvor einmal genehmigt wurde, wird fortan automatisch genehmigt.

Dass eine Kommentar-Lücke mehr zählt, als es zunächst scheint, liegt daran, wer Kommentare liest. Besucher sehen sie, aber auch Moderatoren und Administratoren. Ein Skript, das im angemeldeten Browser eines Administrators läuft, kann mit dessen Berechtigungen handeln, und von dort kann ein Angreifer ein neues Administratorkonto anlegen und es nutzen, um Code auf dem Server auszuführen. Der Name Comment2Shell beschreibt diese Kette, nicht den Kommentar selbst.

Die Lücke zwischen Bereinigung und Rendering

Die Lücke veranschaulicht, warum Eingabefilterung schwierig ist. WordPress bereinigt einen Kommentar beim Speichern mit wp_kses(), um alles zu entfernen, was nach ausführbarem Markup aussieht, und formatiert ihn anschließend beim Laden der Seite mit wpautop() neu, um Zeilenumbrüche in Absätze zu verwandeln. Die Schwachstelle lebt im Raum zwischen diesen beiden Schritten. Eine Nutzlast, die den Sanitizer passiert, ist für sich genommen nicht gefährlich; gefährlich wird sie, wenn der Anzeigefilter den Text neu anordnet und der Browser das Ergebnis als Tag interpretiert.

Patchstacks Analyse zeigt, dass der Fix den Ausdruck in wpautop() für Anführungszeichen sensibilisiert, sodass eine schließende spitze Klammer innerhalb eines in Anführungszeichen gesetzten Werts nicht mehr als Ende eines Tags gelesen wird. Die Änderung ist klein, was typisch für Cross-Site-Scripting-Fixes ist und auch der Grund, warum sie bei der Überprüfung leicht übersehen werden. Die Lehre, die Sicherheitsteams aus solchen Fehlern ziehen, lautet, dass Bereinigung und Rendering sich darüber einig sein müssen, was die Eingabe bedeutet, und dass jede Abweichung zwischen beiden ein potenzieller Ausführungspfad ist.

Wer betroffen ist und wie man es behebt

Jeder WordPress-Zweig ab 4.7 ist unterhalb seines eigenen gepatchten Builds verwundbar. WordPress hat den Fix über die unterstützten Zweige zurückportiert, und die korrigierten Versionen für die aktuellen Linien sind 7.1.1 für den 7.1-Zweig, 7.0.5 für 7.0 und 6.9.8 für 6.9. Ältere Zweige bis zurück zu 4.7.36 erhielten eigene gepatchte Builds. Das Projekt empfiehlt, sofort zu aktualisieren, und weist darauf hin, dass Seiten mit aktivierten automatischen Hintergrund-Updates den Fix von selbst erhalten.

Für Administratoren, die nicht sofort aktualisieren können, besteht die praktische Gegenmaßnahme darin, die Bedingungen zu ändern, von denen der Exploit abhängt. Die manuelle Kommentarmoderation einzuschalten setzt einen Menschen zwischen einen anonymen Kommentar und die Seite, und Kommentare bei älteren Beiträgen zu schließen entfernt den Einstiegspunkt ganz. Nichts davon ersetzt das Patchen, und Patchstacks Hinweis, dass die Sicherung für zuvor genehmigte Kommentatoren umgangen werden kann, bedeutet, dass die Moderation nur hilft, wenn Moderatoren Kommentare genehmigen, die sie als echt erkennen.

Die anderen Fixes in der Veröffentlichung sind für sich genommen wertvoll. Sie umfassen eine Lücke auf Contributor-Ebene, die einem authentifizierten Nutzer erlaubte, Beiträge zu überschreiben, die ihm nicht gehörten, einen authentifizierten Path Traversal im REST-Templates-Controller, gemeldet von Anthropic, und mehrere Probleme in der HTML-API und der Theme-Verarbeitung. Keines davon ist so breit erreichbar wie die Kommentar-Lücke, und alle werden durch dasselbe Update behoben.

Ein vertrautes Muster mit schärferer Kante

Die Veröffentlichung setzt ein schwieriges Jahr für die Sicherheit des WordPress-Kerns fort. Im Juli erlaubte eine Lücke namens wp2shell Angreifern, ohne jede Anmeldung Code auszuführen, und US-Behörden führten sie später als in echten Angriffen ausgenutzt. Im August offenbarten Forscher eine Scripting-Lücke in einer anderen Komponente. Comment2Shell ist ein eigener Fehler mit einem eigenen Fix, und seine Erreichbarkeit durch einen unauthentifizierten Besucher stellt es in dieselbe unangenehme Kategorie wie jene früheren Probleme.

Was diese Lücke unterscheidet, ist der Eskalationspfad und nicht der Einstiegspunkt. Cross-Site-Scripting in Kommentaren ist ein altes Problem, und der übliche Rat lautete, Kommentare zu moderieren und die Software aktuell zu halten. Das Interessante an Comment2Shell ist, dass die Nutzlast den Sanitizer übersteht und dann eine routinemäßige administrative Handlung, das Öffnen eines Kommentars, in einen Schritt zur Server-Kompromittierung verwandelt. Das erinnert daran, dass die Sicherheit eines Content-Management-Systems von der am wenigsten privilegierten Handlung abhängt, zu der es einlädt, und nicht nur von den Teilen, die direkt ins Internet zeigen.

Der Fehler ist zudem eine kleine Fallstudie zur Offenlegung. Muhammad meldete ihn über ein koordiniertes Programm, WordPress behob ihn innerhalb von zwei Tagen, und Patchstack veröffentlichte die Details einen Tag nach der Veröffentlichung. Das ist ein funktionierender Prozess. Derselbe Prozess bedeutet, dass die Details nun öffentlich sind und der Fix die einzige Verteidigung ist, weshalb Forscher das Update als dringend und nicht nur als ratsam beschrieben.

Die praktische Lehre lautet, dass ein gewöhnliches Kommentarformular eine Sicherheitsfläche ist. Seiten, die Kommentare bei alten Beiträgen offen lassen oder Kommentatoren, die schon einmal geschrieben haben, automatisch genehmigen, sollten die Moderationswarteschlange als Einstiegspunkt behandeln und aktualisieren, ohne auf ein Wartungsfenster zu warten. Managed Hosts, die viele Installationen betreiben, können außerdem prüfen, ob einige an einen nicht mehr unterstützten Zweig gebunden sind, denn Backports helfen nur den Seiten, die sie anwenden.

Was zu beobachten ist

Die unmittelbare Frage ist, wie schnell der lange Schwanz der WordPress-Seiten aktualisiert. WordPress betreibt einen großen Teil des Webs, und viele Installationen werden von Menschen gepflegt, die Sicherheitsveröffentlichungen nicht genau verfolgen. Managed Hosts und automatische Updates werden einen Großteil der Lücke schließen, und die Seiten, die zurückbleiben, sind jene, die am ehesten abgetastet werden, sobald Proof-of-Concept-Code auftaucht.

Zwei Signale werden zeigen, ob das zählt. Das erste ist, ob die Lücke in Ausnutzungsversuchen oder auf der Liste aktiv ausgenutzter Schwachstellen der US-Regierung auftaucht, was zum Zeitpunkt des Patches nicht geschehen war. Das zweite ist, ob ein funktionierender Exploit veröffentlicht wird, denn der Fix macht die genaue Änderung sichtbar, und eine öffentliche Nutzlast würde die Zeit verkürzen, die Verteidiger haben. Administratoren auf einem unterstützten Zweig sollten das Update als erledigt betrachten, wenn es angewandt ist, nicht wenn es geplant ist.

Cover: das WordPress-Admin-Dashboard, Version 7.0. Screenshot der WordPress Foundation, via Wikimedia Commons, GPL, cropped 16:9.