Innerhalb weniger Tage haben sich Ende September 2026 auffällig viele Sicherheitswarnungen angesammelt. Im Zentrum steht WordPress: Das mit Abstand meistgenutzte Content-Management-System der Welt bekam gleich zwei Sicherheitsupdates in kurzer Folge, und das Bürger-CERT des BSI listet mehrere Schwachstellen auf, darunter eine besonders raffinierte Angriffsmethode mit dem Namen Click2Shell. Parallel dazu füllte sich der Warndienst von CERT-Bund mit Dutzenden Advisories – von IBM-Middleware über das Drucksystem CUPS bis hin zu grundlegenden Bausteinen von Linux-Distributionen.

Für sich genommen wirkt jede dieser Meldungen technisch und speziell. In der Summe ergeben sie aber ein Bild, das für jeden relevant ist, der eine Website betreibt, Server administriert oder schlicht seine Geräte aktuell halten will. Wir ordnen die wichtigsten Punkte ein, erklären, was hinter den kryptischen Advisory-Titeln steckt, und sagen, worauf es jetzt praktisch ankommt.

WordPress patcht zweimal in kurzer Folge

Dass WordPress ein Sicherheitsupdate nachschiebt, ist an sich nichts Ungewöhnliches. Auffällig ist diesmal das Tempo: Laut heise online folgte kurz nach einem ersten Update gleich das nächste. Version 7.1.2 schließt nach Angaben aus der Berichterstattung eine kritische Schwachstelle. Solche Doppel-Releases deuten meist darauf hin, dass entweder ein erster Fix nicht vollständig griff oder während der Analyse weitere Probleme gefunden wurden.

WordPress betreibt einen automatischen Update-Mechanismus für kleinere Wartungs- und Sicherheitsversionen. Viele Installationen ziehen sich solche Patches also selbstständig, ohne dass der Betreiber aktiv werden muss. Verlassen sollte man sich darauf trotzdem nicht: Automatische Updates lassen sich abschalten, sie scheitern gelegentlich an Dateiberechtigungen, und bei stark angepassten oder über eigene Deployment-Pipelines verwalteten Seiten sind sie oft bewusst deaktiviert. Ein Blick ins Dashboard, ob wirklich die aktuelle Version läuft, kostet wenige Sekunden.

Click2Shell: Wie ein Klick zum Server-Zugriff führt

Die interessanteste der gemeldeten WordPress-Schwachstellen trägt den Namen Click2Shell. Das Bürger-CERT des BSI beschreibt sie als Kombinationsangriff, der zeigt, wie aus mehreren einzeln überschaubaren Problemen eine ernste Bedrohung wird.

Der Kern: Ein Angreifer kann einen angemeldeten Administrator dazu bringen, ein von ihm ausgewähltes Theme aus dem offiziellen WordPress.org-Verzeichnis zu installieren. Das klingt zunächst harmlos, schließlich stammt das Theme aus der offiziellen Quelle. Der Trick liegt darin, dass der Admin diese Aktion unbewusst auslöst – etwa durch einen präparierten Link oder eine manipulierte Seite. Wird das eingeschleuste Theme dann mit einer separaten Schwachstelle in genau diesem Theme kombiniert, lässt sich am Ende Schadcode auf dem Server ausführen. Aus einem einzelnen Klick wird so ein vollständiger Kompromittierungspfad.

Über Click2Shell hinaus nennt das BSI weitere Lücken in WordPress. Angreifer könnten Sicherheitsmaßnahmen umgehen, Cross-Site-Scripting-Angriffe fahren oder Daten manipulieren und offenlegen. Cross-Site-Scripting bedeutet, dass fremder Code im Browser anderer Besucher ausgeführt wird – ein klassisches Einfallstor, um Sitzungen zu übernehmen oder Eingaben abzugreifen.

Warum solche Kombinationsangriffe gefährlich sind

Sicherheitslücken werden gern nach ihrer Einzelschwere bewertet. Click2Shell führt vor Augen, warum diese Betrachtung zu kurz greift. Jede beteiligte Schwachstelle mag für sich genommen nur mittleres Risiko bedeuten. Erst die Verkettung – erzwungene Theme-Installation plus verwundbares Theme – hebt das Ganze auf ein Niveau, auf dem Codeausführung möglich wird. Für Betreiber heißt das: Es reicht nicht, nur die als „kritisch“ markierten Lücken zu schließen. Gerade die Kombination scheinbar kleinerer Probleme kann teuer werden.

Das BSI meldet eine Welle an Schwachstellen

Neben WordPress hat CERT-Bund am 21. und 22. September 2026 eine ganze Reihe von Advisories veröffentlicht. Die Bandbreite reicht von Einzelplatzsoftware bis zu Server-Infrastruktur, die in vielen Unternehmen läuft. Ein paar Fälle verdienen besondere Aufmerksamkeit.

IBM MQ und IBM App Connect Enterprise

Für IBM MQ stuft das BSI eine Schwachstelle als hoch ein. Ein entfernter, aber authentifizierter Angreifer kann demnach beliebigen Programmcode ausführen, einen Denial of Service auslösen und potenziell seine Rechte ausweiten. IBM MQ ist eine weit verbreitete Message-Queuing-Middleware, über die Anwendungen im Hintergrund Daten austauschen – ein zentraler Nervenknoten, dessen Ausfall oder Übernahme ganze Prozessketten treffen kann.

Ähnlich gelagert ist die Lücke in IBM App Connect Enterprise, die als mittel bewertet wird. Hier kann laut BSI sogar ein anonymer, also nicht angemeldeter Angreifer aus der Ferne Code ausführen. Wo Integrationsplattformen dieser Art am Netzrand hängen, ist das ein ernstzunehmendes Risiko.

CUPS: hoch eingestuft und noch ohne Patch

Besonders unangenehm ist der Fall CUPS, das Drucksystem, das unter anderem in Red Hat Enterprise Linux und Fedora steckt. Das BSI kennzeichnet die Lücke als hoch und ausdrücklich als ungepatcht. Ein lokaler Angreifer kann seine Privilegien erhöhen. „Lokal“ klingt beruhigender, als es ist: Auf Mehrbenutzersystemen oder nach einem ersten, begrenzten Einbruch ist eine Rechteausweitung oft genau der Schritt, der aus eingeschränktem Zugriff volle Kontrolle macht. Solange kein Fix bereitsteht, bleiben nur Absicherung des Zugriffs und aufmerksames Monitoring.

Fluent Bit und weitere Server-Bausteine

Als hoch bewertet ist auch eine Schwachstelle in Fluent Bit, einem populären Werkzeug zum Sammeln und Weiterleiten von Log-Daten. Ein entfernter, anonymer Angreifer kann laut BSI Code mit Administratorrechten ausführen oder einen Denial of Service herbeiführen. Weil Log-Pipelines in modernen Cloud- und Container-Umgebungen fast überall laufen, ist die potenzielle Angriffsfläche entsprechend groß.

Dazu kommen zahlreiche mittlere und niedrige Einstufungen: xwiki mit möglicher Codeausführung durch authentifizierte Angreifer, Grafana mit einer Cross-Site-Scripting-Lücke, X.Org X11 mit potenzieller Codeausführung sowie rsyslog und Checkmk. Selbst ein Klassiker wie das Textbearbeitungswerkzeug GNU Emacs taucht im Zusammenhang mit Codeausführung auf.

CPython gleich mehrfach in der Liste

Auffällig ist, wie oft CPython – die Referenz-Implementierung von Python – in den Updates erscheint. Gleich mehrere Advisories betreffen die Sprache: von Denial of Service über Datenmanipulation bis zum Umgehen von Sicherheitsvorkehrungen. Python steckt in unzähligen Anwendungen, Skripten und Systemdiensten. Wer produktive Software auf Python-Basis betreibt, sollte die eingesetzten Interpreter-Versionen im Blick behalten und aktuelle Distributionspakete einspielen.

Die niedrigeren Einstufungen wie die coreutils-Lücke in Red Hat Enterprise Linux oder der Denial of Service in der IBM Tape Library sind weniger dramatisch, gehören aber ins normale Patch-Management. Auch Redis und der Parser expat stehen mit aktualisierten Advisories auf der Liste.

Was die Schweregrade des BSI bedeuten

Die Advisories tragen Einstufungen von niedrig über mittel bis hoch. Diese Bewertung ist kein Selbstzweck, sondern hilft bei der Priorisierung. Grob gilt: Je höher die Stufe und je geringer die Hürde für einen Angriff, desto dringlicher der Handlungsbedarf.

Ein wichtiges Detail steckt jeweils in der Formulierung, wer die Lücke ausnutzen kann. „Entfernt und anonym“ ist der ungünstigste Fall – hier braucht ein Angreifer weder Zugangsdaten noch Netzzugang von innen. „Authentifiziert“ setzt gültige Anmeldedaten voraus, was die Angriffsfläche einschränkt, aber bei kompromittierten Konten wenig hilft. „Lokal“ bedeutet, dass bereits ein Zugang zum System bestehen muss. Diese Unterschiede zusammen mit der Schwere ergeben das reale Risiko – ein anonymer Fernangriff mit hoher Einstufung wie bei Fluent Bit wiegt deutlich schwerer als eine lokale Denial-of-Service-Lücke mit niedriger Einstufung.

Der Zusatz ungepatcht, wie bei CUPS und OpenClaw, verdient besondere Beachtung. Er signalisiert, dass zum Zeitpunkt der Meldung noch kein Hersteller-Fix verfügbar war. In solchen Fällen bleiben nur mildernde Maßnahmen: Zugriff einschränken, betroffene Dienste vom Netz nehmen, wo möglich, und die Lage im Auge behalten, bis ein Update erscheint.

Was bedeutet das für dich?

Nicht jede dieser Meldungen betrifft jeden. Für einen normalen iPhone- oder Windows-Nutzer sind IBM MQ oder Fluent Bit irrelevant. Wer aber eine WordPress-Seite betreibt oder Server administriert, sollte jetzt handeln. Die folgenden Schritte helfen, die Lage zu ordnen.

  • WordPress-Version prüfen: Öffne das Dashboard und stelle sicher, dass die aktuelle Version läuft. Ist die Auto-Update-Funktion aktiv und hat sie funktioniert? Bei kritischen Fixes wie in 7.1.2 lohnt der manuelle Kontrollblick.
  • Themes und Plugins aktualisieren: Click2Shell zeigt, dass Themes selbst zum Einfallstor werden. Entferne ungenutzte Themes und Plugins vollständig, statt sie nur zu deaktivieren – auch inaktiver Code kann anfällig sein.
  • Administrator-Konten absichern: Da Click2Shell auf einen angemeldeten Admin zielt, sind starke, einzigartige Passwörter und Zwei-Faktor-Authentifizierung Pflicht. Vorsicht bei Links, die zu Aktionen im Admin-Bereich auffordern.
  • Server-Software inventarisieren: Prüfe, ob du IBM MQ, App Connect, CUPS, Fluent Bit, Grafana, Redis oder betroffene Python-Versionen einsetzt, und spiele verfügbare Patches ein.
  • Ungepatchte Lücken mildern: Wo noch kein Fix existiert – etwa bei CUPS –, schränke den Zugriff ein und überwache die Systeme auf ungewöhnliche Aktivität.
  • Backups verifizieren: Sorge dafür, dass aktuelle, wiederherstellbare Sicherungen existieren. Nach einer erfolgreichen Codeausführung ist ein sauberes Backup oft der schnellste Weg zurück.

Für alle anderen gilt die einfache Grundregel: Betriebssystem, Browser und Apps aktuell halten. Die meisten der hier genannten Server-Lücken erreichen dich nie direkt – aber die Websites und Dienste, die du nutzt, laufen auf genau dieser Software. Deshalb ist das Patch-Verhalten der Betreiber am Ende auch dein Sicherheitsnetz.

Der rote Faden hinter den Meldungen

Was diese Häufung zeigt, ist kein einzelner Skandal, sondern der Normalbetrieb moderner IT-Sicherheit. Software besteht aus vielen Schichten, die aufeinander aufbauen: ein CMS wie WordPress oben, darunter Themes und Plugins, dann Interpreter wie Python, Dienste wie CUPS oder rsyslog, schließlich das Betriebssystem. Eine Schwäche auf jeder dieser Ebenen kann das Gesamtsystem gefährden.

Click2Shell verdeutlicht das exemplarisch. Die Lücke lebt vom Zusammenspiel: eine erzwungene Aktion im CMS, ein anfälliges Theme, am Ende Codeausführung. Angreifer denken in solchen Ketten, Verteidiger müssen es ebenfalls tun. Deshalb reicht es nicht, nur die spektakulären Meldungen zu verfolgen. Auch die vielen als mittel oder niedrig eingestuften Advisories sind Bausteine, die in Kombination zum Problem werden können.

Kurz beantwortet

Häufige Fragen

Muss ich mein WordPress sofort aktualisieren?

Ja, wenn du eine WordPress-Seite betreibst. Version 7.1.2 schließt laut Berichterstattung eine kritische Schwachstelle, und mit Click2Shell existiert ein Angriffsweg, der bis zur Codeausführung auf dem Server reichen kann. Prüfe im Dashboard die installierte Version und stelle sicher, dass automatische Updates tatsächlich griffen. Aktualisiere zusätzlich alle Themes und Plugins.

Was genau ist Click2Shell?

Click2Shell ist ein Kombinationsangriff auf WordPress. Er zwingt einen angemeldeten Administrator dazu, ein vom Angreifer bestimmtes Theme aus dem offiziellen WordPress.org-Verzeichnis zu installieren. Wird dieses Theme mit einer eigenen Schwachstelle kombiniert, lässt sich Schadcode auf dem Server ausführen. Gefährlich ist die Methode, weil sie mehrere für sich harmlose Schritte zu einem ernsten Angriffspfad verkettet.

Bin ich als normaler Nutzer von den BSI-Warnungen betroffen?

Die meisten Advisories richten sich an Administratoren von Servern und Infrastruktur – IBM MQ, Fluent Bit oder CUPS laufen nicht auf deinem privaten Rechner. Indirekt betreffen sie dich aber, weil viele Online-Dienste auf dieser Software basieren. Dein wichtigster Beitrag bleibt, eigene Geräte und Apps zeitnah zu aktualisieren und auf Phishing-Versuche zu achten.

Warum gibt es zwei WordPress-Updates so kurz hintereinander?

Ein schneller zweiter Patch deutet meist darauf hin, dass ein erster Fix nicht vollständig gegriffen hat oder bei der weiteren Analyse zusätzliche Probleme auftauchten. Für Betreiber ist das ein Grund, nicht nur auf den ersten Hinweis zu reagieren, sondern nach dem Nachfolgeupdate erneut zu prüfen, ob wirklich die neueste Version installiert ist.

Was bedeutet es, wenn eine Lücke als „ungepatcht“ markiert ist?

Dass zum Zeitpunkt der Meldung noch kein offizieller Fix des Herstellers vorlag – wie bei der hoch eingestuften CUPS-Schwachstelle. In diesem Fall helfen nur mildernde Maßnahmen: Zugriff auf den betroffenen Dienst einschränken, ihn wenn möglich isolieren oder vom Netz nehmen und die Systeme genau beobachten, bis ein Update verfügbar ist.