Aktuell: s2Member CVE-2026-86596

WordPress-Sicherheitswarnungen

Wenn Sie s2Member nutzen, aktualisieren Sie das zuerst. WordPress 7.1.4 und PHP2Shell lohnen auch noch einen Blick.

s2Member CVE-2026-86596 (2. November 2026)

Was passiert ist: s2Member 260927 und älter hat einen kritischen Fehler für Remote-Code-Ausführung, CVE-2026-86596. Wordfence bewertet ihn mit 9.8, Patchstack mit 10. Er wird über den PayPal-IPN-Parameter item_name erreicht. Patchstack hat am 2. November Angriffe erfasst, der Fehler wird also bereits ausgenutzt. Es ist der zweite Code-Ausführungsfehler des Plugins in etwa sechs Wochen, nach CVE-2026-19804 im September.

Korrigierte Version: 261001.

Jetzt erledigen

s2Member auf 261001 oder neuer aktualisieren.
Wenn die Website 260927 oder älter genutzt hat, unter Benutzer nach Administratoren suchen, die niemand kennt.
Nach PHP-Dateien suchen, die nicht in den Uploads-Ordner und andere beschreibbare Ordner gehören.
Administrator-Passwörter ändern, wenn etwas nicht stimmt.

Wordfence-Hinweis

WordPress 7.1.4 Sicherheitsversion (28. Oktober 2026)

Was erschienen ist: WordPress 7.1.4 ist eine kurze Sicherheitsversion. Sie behebt mehrere Probleme. WordPress empfiehlt, Websites sofort zu aktualisieren. Websites mit automatischen Hintergrund-Updates sollten von selbst beginnen. Die nächste Hauptversion, 7.2, ist für den 8. Dezember geplant.

Während des Updates: Im WordPress-Upgrade-Prozess gibt es eine Schwäche, die während des Update-Fensters zu Remote-Code-Ausführung führen kann. Trotzdem aktualisieren. Das geht unter Dashboard, Aktualisierungen. Danach prüfen, ob die Version auf 7.1.4 steht. Eine Website nicht auf dem Update-Bildschirm stehen lassen.

Die übrigen Korrekturen: Der größte Teil ist gespeichertes Cross-Site-Scripting. Betroffen sind manipuliertes Block-Markup, die Interactivity API, selektives Aktualisieren im Customizer, der Kategorien-Block, Playlist- und Bild-Blöcke, Blöcke für die Kommentar-Seitennummerierung, Anfragen zur Löschung von Datenschutzdaten und speziell gebaute Benutzernamen. Dazu kommt eine gespeicherte Denial-of-Service-Lücke in der Interactivity API. Unveröffentlichte Customizer-Changesets konnten ohne Anmeldung gefunden werden. Notizen konnten privilegierte Benutzer lesen, die den Beitrag, an dem die Notiz hängt, nicht bearbeiten dürfen. Die mitgelieferten Root-Zertifikate wurden wegen des eMudhra-Widerrufs aktualisiert.

Ältere Zweige: Dieselben Korrekturen sind auch für ältere Zweige erschienen, die noch Sicherheitsupdates bekommen, bis 4.7. Das sind 7.0.8, 6.9.11, 6.8.12 und die passenden Releases bis 4.7.39. Nur die neueste WordPress-Version wird aktiv unterstützt. WordPress 7.2 Beta enthält die passenden Korrekturen. Eine Beta nicht auf einer Live-Website installieren.

PHP2Shell ist separat: Ein WordPress-Update patcht CVE-2026-109618 und CVE-2026-109619 nicht. Wenn die PHP-Version auf dem Server noch hinter 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 liegt, das ebenfalls erledigen. Details stehen im Hinweis darunter.

Jetzt erledigen

Unter Dashboard, Aktualisierungen, auf Jetzt aktualisieren klicken. Wenn automatische Updates an sind, abwarten und danach die Version prüfen.
Prüfen, ob die Version 7.1.4 ist, oder das passende Sicherheitsrelease Ihres Zweigs (zum Beispiel 7.0.8, 6.9.11 oder 6.8.12). Ein allgemeiner Hinweis "Sie haben die neueste Version" ist nicht die Prüfung.
Bei älteren Zweigen die Backport-Versionsnummer bestätigen. Websites, die automatische Updates übersprungen haben, können noch eine Version hinterherhinken.
PHP für PHP2Shell trotzdem aktualisieren. Ein WordPress-Update behebt das nicht.

WordPress 7.1.4 Sicherheitsversion

PHP2Shell: CVE-2026-109618 und CVE-2026-109619 (aktualisiert am 22. Oktober 2026)

Was passiert ist: Am 21. Oktober 2026 hat PHP Notfall-Updates für zwei kritische Fehler veröffentlicht. Ein Angreifer kann damit Code auf dem Server ausführen, ohne sich anzumelden. Sicherheitsberichte nennen das Paar PHP2Shell. Die Vorankündigung von PHP vom 20. Oktober hat beide mit CVSS v4.0 9.2 bewertet. Es sind CVE-2026-109618 (Beschädigung bei Speichermangel) und CVE-2026-109619 (alter Zustand, der in einem PHP-Worker hängen bleibt).

Update, 22. Oktober: Etwa 24 Stunden nach den Patches ist das Scannen weit verbreitet. Amazon meldet die erste Sonde am 17. Oktober, noch vor dem Ende des Embargos, und danach breite Ausnutzungsversuche nach der Veröffentlichung. Cloudflare schreibt, die Versuche stiegen von Tausenden vor der Ankündigung auf Millionen danach. WatchTowr schreibt, viele öffentliche PoCs erreichen keine Remote-Code-Ausführung und crashen oder messen vor allem Zeiten. CISA hat sofortiges Aktualisieren gefordert. Nur das PHP-Update ist die vollständige Lösung.

WordPress: Das ist die PHP-Version auf dem Server. Ein Update von WordPress, Plugins oder Themes behebt das nicht. Jede WordPress-Website bleibt angreifbar, bis diese PHP-Version gepatcht ist.

Wen es trifft: Jede PHP-Installation, die Webanfragen beantwortet, einschließlich PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. PHP schreibt, das Risiko ist bei mod_php am höchsten: ein nachgewiesener Exploit kann mit einer Anfrage starten, bevor WordPress-Code läuft. Cloudflare schreibt außerdem, die Fehler betreffen Webserver mit PHP 5.4 oder neuer.

Korrigierte Versionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und älter bekommt keine Updates mehr vom PHP-Projekt. Manche Hoster und Linux-Distributionen liefern die Korrektur nach, manchmal ohne die Versionsnummer auf diese Releases zu ändern. PHP hat außerdem minimale Quellcode-Backports für 7.4, 8.0 und 8.1 veröffentlicht, für alle, die PHP selbst bauen. PHP schreibt, es gibt keine vollständige Übergangslösung.

Cloudflare: Cloudflare hat WAF-Regeln für alle Tarife, einschließlich Free, am 21. Oktober um 03:02 UTC aktiviert, etwa 9 Stunden vor der öffentlichen PHP-Veröffentlichung. Im Free-Tarif sind die Regeln standardmäßig an. Bei Pro, Business oder Enterprise prüfen, ob das Managed Ruleset auf Block steht. Die Regeln sehen nur Verkehr, der durch Cloudflare läuft, und Cloudflare schreibt, sie sind eine zusätzliche Schicht. PHP trotzdem aktualisieren.

Jetzt erledigen

Unter Werkzeuge, Website-Zustand, Info, Server die volle PHP-Version notieren. Eine Anzeige, die nur 8.2 oder 8.3 sagt, reicht nicht.
Den Hoster bitten, 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 für den Zweig zu installieren, den Sie schon nutzen, und PHP neu zu starten.
Wenn Sie PHP 8.1 oder älter nutzen, auf einen unterstützten Zweig wechseln oder sich bestätigen lassen, dass das Paket des Hosters CVE-2026-109618 und CVE-2026-109619 enthält.
Ein Update von WordPress, einem Plugin oder einem Theme nicht als die Korrektur behandeln.
Wenn die Website über Cloudflare läuft, die PHP2Shell-WAF-Regeln anlassen. Bei Pro, Business oder Enterprise prüfen, ob das Managed Ruleset auf Block steht. Anfragen direkt an die Server-IP umgehen diese Regeln.

Offizieller PHP-Sicherheitshinweis Cloudflare: WAF-Schutz für PHP2Shell SecurityWeek: Ausnutzung vor und nach den Patches

Frühere Warnungen

Websites aktuell halten

Wenn die Website s2Member nutzt, prüfen Sie, ob es auf 261001 oder neuer steht. Prüfen Sie, ob WordPress auf 7.1.4 steht oder auf dem Sicherheits-Backport Ihrer Version, und ob PHP für PHP2Shell gepatcht ist. Danach helfen Scans und Härtung, wenn Sie das Restrisiko klarer sehen wollen.

Aktualisieren und schützen Malware-Scanner