Aktiv: CyberXero, Bricksforge, WordPress 7.1.3

WordPress-Sicherheitswarnungen

Dringende Hinweise zu Core und laufenden Kampagnen. Zuerst aktualisieren, dann prüfen.

CyberXero, automatisierte Massenangriffe auf WordPress (berichtet am 6. Oktober 2026)

Was passiert ist: Das Threat-Research-Team von SOCRadar hat CyberXero beschrieben, eine russischsprachige Gruppe, die in Websites eindringt und den Zugang verkauft. Sie setzt bis zu 51 KI-Agenten auf übliche Angriffswerkzeuge. In einem automatischen Lauf hat sie 4.708 Ziele gescannt, ist in 429 WordPress-Adminbereiche gekommen und hat in 61 Sekunden 32 Webshells abgelegt.

Wie sie reinkommen: bekannte Plugin-Fehler (zum Beispiel die SQL-Injection im Plugin Support Board, CVE-2026-4815, behoben in 3.7.8), SQL-Injection, Password-Spraying und Missbrauch des Batch-Endpunkts der WordPress-REST-API.

Was sie hinterlassen: ein neues Administratorkonto namens wp2_ plus 8 Zufallszeichen, und eine Webshell, die als aktives Plugin installiert ist.

Jetzt erledigen

Alle Plugins und Themes aktualisieren. Wenn Sie Support Board nutzen, muss es 3.7.8 oder neuer sein.
Unter Benutzer nach Administratoren suchen, die Sie nicht kennen, besonders Namen, die mit wp2_ beginnen.
Unter Plugins nach aktiven Plugins suchen, die Sie nicht installiert haben.
Starke, eigene Administrator-Passwörter verwenden und 2FA einschalten.
Anmeldeversuche begrenzen, damit Password-Spraying langsamer wird.

Vollständiger Bericht von SOCRadar

Bricksforge für Bricks Builder, CVE-2026-85097 (CVSS 9.8)

Was passiert ist: Bricksforge bis Version 3.1.8.9 lässt jeden eine Datei hochladen und als PHP ausführen. Eine Anmeldung ist nicht nötig. Angriffe laufen seit dem 7. Oktober (Patchstack). Öffentlicher Exploit-Code liegt seit dem 10. Oktober auf GitHub, rechnen Sie mit mehr automatischen Scans.

Aktualisieren Sie auf Bricksforge 4.0.1 oder neuer (die vom Anbieter dokumentierte Korrektur). Patchstack nennt 3.1.8.10 als Korrektur für den 3.x-Zweig. Wenn Sie auf 4.0.0 sind, prüfen Sie die Download-Seite des Anbieters und aktualisieren Sie auf 4.0.1.

Warum man das leicht übersieht: kostenpflichtige Add-ons aktualisieren sich außerhalb von wordpress.org und fehlen oft in der normalen Update-Liste.

Jetzt erledigen

Prüfen, welche Bricksforge-Version läuft.
Auf die neueste Version aktualisieren.
PHP-Ausführung in wp-content/uploads sperren.
Nach unerwarteten .php-Dateien in uploads und nach neuen Administratorkonten suchen.
Nach PHP-Dateien in /wp-content/uploads/bricksforge/tmp/ suchen.
Nach Dateien namens login_admin_*.php irgendwo unter /wp-content/uploads/ suchen.
Unter Benutzer nach Administratoren suchen, die Sie nicht kennen.

Details zur Sicherheitslücke Patchstack: bereits ausgenutzt

WordPress 7.1.3 · Veröffentlicht am 6. Oktober 2026

Wartungs- und Sicherheitsversion: 7 Sicherheitskorrekturen und 4 Fehlerkorrekturen. Geleitet von Jake Spurlock.

Das ist eine Sicherheitsversion. Aktualisieren Sie jede Website, die Sie betreuen. Die Beiträge auf wordpress.org bleiben die Quelle. Hier steht die Kurzfassung, damit Sie handeln können.

Builds vom selben Tag im Release-Archiv: 7.1.3, 7.0.7, 6.9.10, 6.8.11, 6.7.10, 6.6.10. WordPress schreibt, Sicherheitskorrekturen werden bei Bedarf bis 4.7 zurückportiert. Älter als 6.6 kann noch in Arbeit sein. Gehen Sie nicht davon aus, dass jeder ältere Zweig schon gepatcht ist, solange er nicht auf der Release-Seite steht.

Jetzt erledigen

Auf WordPress 7.1.3 aktualisieren (oder auf den Sicherheits-Build Ihrer Version, wenn er im Release-Archiv steht).
Die Version unter Dashboard, Aktualisierungen bestätigen. Bei „Sie haben die neueste Version“ nicht stehen bleiben.
Besser auf dem aktuellen 7.1.x bleiben. Ältere Zweige bekommen Sicherheitskorrekturen nur als Nachlieferung.

Sicherheitskorrekturen

Stored XSS auf der Kommentarverwaltung (über ausstehende Kommentare)
DoS in WP_Http::make_absolute_url()
Second-Order-SQL-Injection beim WordPress-WXR-Export
Benutzer mit der Rolle Author können Beiträge anheften (zu schwache Capability)
Nicht angemeldete Nutzer können Kommentare zu privaten und unveröffentlichten Beiträgen sehen
Imgur-Einbettungen sind anfällig für XSS
Fälschbare Parameter am Hook {status}_{type} (Risiko kollidierender Action-Namen)

Ausführlicher (Patchstack)

Welche Rolle was darf und was jede Korrektur voraussetzt, steht im Patchstack-Artikel.

WordPress 7.1.3 security release - Patchstack

Nach dem Update (Rollen)

Zuerst aktualisieren. Danach prüfen, wer auf der Website die Rolle Contributor oder höher hat. Die meisten Korrekturen betreffen, was diese Rollen erreichen können. Zwei Probleme beginnen ohne Anmeldung (Kommentar-Feed privater oder unveröffentlichter Beiträge, und XSS in der Kommentarverwaltung, das zusätzlich einen Klick eines Moderators braucht).

Hinweis zum Imgur-Cache

Das Update entfernt bereits zwischengespeicherte Imgur-Einbettungen nicht (_oembed_* in der Beitrags-Meta oder Beiträge vom Typ oembed_cache). Leeren Sie den Cache der Website nach dem Update, wenn Sie jemals Imgur eingebettet haben.

Offizieller WordPress-Beitrag zu 7.1.3

Aktualisieren und schützen Malware-Scanner

Frühere Warnungen

Dieser Hub auf Deutsch nennt WordPress 7.1.3 und die aktuellen Kampagnen. Ältere Hinweise, darunter die wp2shell-Familie und WordPress 7.1.2, stehen auf Englisch. /wp2shell/

WordPress aktuell halten

Prüfen Sie die Version auf jeder Website. Danach helfen Scans und Härtung, wenn Sie das Restrisiko klarer sehen wollen.

Aktualisieren und schützen Malware-Scanner