Für Betreiber von WordPress-Websites gibt es eine neue Sicherheitswarnung: Eine Schwachstelle in WordPress kann von entfernten, aber bereits authentisierten Angreifern ausgenutzt werden, um beliebigen Programmcode auszuführen. Der Angriffsweg führt über den Upload einer bösartigen PostScript-Datei. Relevant ist das vor allem für Installationen, auf denen Nutzerkonten Dateien hochladen dürfen – etwa Redaktionen, Autorenzugänge oder andere Rollen mit Medienfunktionen. Die Lücke ist deshalb nicht mit einem anonymen Angriff auf jede beliebige Website gleichzusetzen, bleibt aber kritisch: Wer ein gültiges Konto missbrauchen kann, bekommt unter Umständen deutlich mehr Kontrolle über das System als vorgesehen.
Warum ein Dateiupload zum Sicherheitsproblem wird
WordPress lebt davon, Inhalte schnell ins Web zu bringen. Bilder, Dokumente und andere Dateien landen über die Mediathek auf dem Server und werden dort von WordPress weiterverarbeitet oder für die Website bereitgestellt. Genau diese Upload-Funktion ist bei der gemeldeten Schwachstelle der entscheidende Punkt. Der Fehler erlaubt es, eine manipulierte Datei im PostScript-Format hochzuladen, die nicht nur als harmloser Inhalt behandelt werden darf.
PostScript ist ein Seitenbeschreibungssystem, das ursprünglich für Druckausgabe und Dokumentenverarbeitung entwickelt wurde. Anders als bei einfachen Bildformaten enthält eine PostScript-Datei nicht nur Pixelinformationen, sondern Anweisungen zur Darstellung. Wird so eine Datei von einer Anwendung oder einem Dienst auf dem Server verarbeitet, entsteht ein anderer Risikotyp als bei einem normalen Bild-Upload. Eine bösartig präparierte Datei kann dann zum Auslöser für unerwünschte Befehle werden.
Die gemeldete Schwachstelle beschreibt genau diesen Fall: Durch einen Fehler in WordPress kann der Upload einer solchen Datei zur Ausführung von Programmcode führen. Für Betreiber ist dabei weniger entscheidend, ob PostScript im eigenen Alltag eine Rolle spielt. Wichtig ist, ob die Website Dateiuploads akzeptiert und ob angemeldete Nutzer diese Funktion verwenden können.
Authentisiert heißt nicht automatisch ungefährlich
Der Angriff setzt laut Warnung voraus, dass der Angreifer authentisiert ist. Das bedeutet: Er greift nicht ohne Anmeldung von außen an, sondern benötigt ein gültiges Benutzerkonto. Das senkt die Hürde für einen Angriff aber nur bedingt. In vielen WordPress-Installationen gibt es mehrere Konten – etwa für Autoren, freie Mitarbeitende, Agenturen oder frühere Projektbeteiligte. Auch schwache, wiederverwendete oder bereits abgeflossene Passwörter können dazu führen, dass ein fremdes Konto missbraucht wird.
Gerade bei Websites mit redaktionellem Betrieb ist der Medien-Upload oft für mehrere Rollen freigeschaltet. Das ist praktisch, weil Autoren Bilder oder Begleitmaterial selbst hochladen können. Sicherheitstechnisch wird aus dieser Bequemlichkeit jedoch ein zusätzlicher Angriffsweg. Wenn ein kompromittiertes Konto eine Datei hochladen darf, reicht das bei einer passenden Schwachstelle möglicherweise aus, um Code auf dem Server auszuführen.
Codeausführung ist eine der schwerwiegenderen Folgen einer Web-Schwachstelle. Sie bedeutet, dass ein Angreifer nicht nur Inhalte manipuliert oder einzelne Funktionen missbraucht, sondern eigene Befehle auf dem betroffenen System anstoßen kann. Welche Folgen das im Einzelfall hat, hängt von der Umgebung ab: von den Rechten des Webservers, der Konfiguration der WordPress-Installation und davon, welche weiteren Dienste auf dem System erreichbar sind. Für Website-Betreiber ist der Befund trotzdem klar: Ein Upload-Fehler mit möglicher Codeausführung gehört nicht in die Kategorie „später ansehen“.
Was Betreiber jetzt prüfen sollten
Der erste Blick sollte auf die eigenen WordPress-Konten gehen. Wer darf Dateien hochladen? Welche Konten werden tatsächlich noch benötigt? Gerade ältere Benutzerzugänge bleiben in vielen Installationen bestehen, obwohl sie seit Monaten nicht mehr genutzt werden. Bei einer Schwachstelle, die einen authentisierten Angreifer voraussetzt, ist jedes unnötige Konto ein zusätzlicher möglicher Einstieg.
Ebenso wichtig ist die Kontrolle der Upload-Rechte. Nicht jede Person, die Inhalte bearbeitet, muss beliebige Dateien auf den Server laden können. Wo Rollen knapp gehalten werden, fällt ein Missbrauch schwerer. Betreiber sollten außerdem ungewöhnliche Uploads im Blick behalten, insbesondere Dateien mit Endungen oder Formaten, die im normalen Redaktionsbetrieb nicht vorkommen. PostScript-Dateien sind auf vielen typischen WordPress-Websites kein Standardformat.
Für die technische Pflege gilt: WordPress sollte eng betreut und zeitnah aktualisiert werden, sobald Sicherheitskorrekturen bereitstehen. Wer die Website nicht selbst administriert, sollte den Hosting- oder Wartungspartner ansprechen und klären, ob die Installation geprüft wird. Bei PLUTEX-gehosteten Projekten lohnt sich besonders der Blick auf Rollen, Upload-Funktionen und die aktuelle Wartungsroutine der jeweiligen WordPress-Instanz.
Betreiber sollten jetzt vor allem die Angriffsfläche verkleinern und verdächtige Uploads ernst nehmen:
- Prüfen Sie, welche WordPress-Konten Dateien hochladen dürfen.
- Entfernen oder deaktivieren Sie nicht mehr benötigte Benutzerkonten.
- Achten Sie auf ungewöhnliche PostScript-Dateien in Upload-Bereichen.
- Halten Sie WordPress über die reguläre Wartung aktuell.
