Der Sicherheitsforscher Kursat Cetin von Patchstack hat am 30. Oktober 2026 beschrieben, wie Angreifer über die Sicherheitslücke CVE-2026-111497 die PHP-Prozesse einer WordPress-Standardinstallation abstürzen lassen. Der Fehler steckt in Brotli, einer Bibliothek von Google zum Entpacken komprimierter Daten, und betrifft die Versionen 1.0.3 bis 1.2.0. WordPress bringt Brotli nicht selbst mit. Für jeden Abruf aus dem Netz nutzt WordPress aber das cURL des Servers und damit dessen Brotli-Fassung.
Google stuft die Sicherheitslücke mit 9,2 von 10 möglichen Punkten als kritisch ein. Die US-Cybersicherheitsbehörde CISA hat CVE-2026-111497 am 27. Oktober in ihren Katalog aktiv ausgenutzter Sicherheitslücken aufgenommen.
Wie gelangt der Angriff auf deine WordPress-Seite?
Den einfachsten Weg bietet die Pingback-Funktion. Ein Angreifer schickt ohne Konto einen Pingback an die Datei xmlrpc.php und gibt als Absender eine Adresse auf seinem eigenen Server an. WordPress ruft diese Adresse ab, der Server des Angreifers antwortet mit manipulierten Brotli-Daten, und schon beim Entpacken schreibt Brotli über das Ende seines Speicherbereichs hinaus. Ein frisch installiertes WordPress erfüllt alle Voraussetzungen: XML-RPC ist an, Pingbacks sind erlaubt, und mindestens ein Beitrag nimmt Pingbacks an.
So läuft der Angriff über Pingbacks
Der Weg ohne Anmeldung, beschrieben von Patchstack am 30. Oktober 2026
- Pingback an xmlrpc.php
- WordPress ruft die Adresse des Angreifers ab
- Antwort mit manipulierten Brotli-Daten
- cURL entpackt mit Brotli
- PHP-Prozess stürzt ab
Öffentlich gezeigt ist bisher nur der Absturz, kein eingeschleuster Code.
Quelle: Patchstack
Nachgewiesen ist bisher der Absturz. Ein am 27. Oktober veröffentlichter Testangriff ließ einen PHP-Prozess mit einem einzigen Aufruf abstürzen oder ließ ihn mit weniger als 100 Byte Daten dauerhaft unter voller Prozessorlast laufen. Nach Einschätzung von Patchstack genügen einige Hundert solcher Aufrufe, um eine Seite dauerhaft lahmzulegen. Eingeschleusten Code über WordPress hat bislang niemand öffentlich vorgeführt.
Pingbacks sind nicht der einzige Weg. Jedes Plug-in, das eine vom Besucher eingegebene Adresse auf dem Server abruft, greift auf dieselbe Bibliothek zurück, etwa für Linkvorschauen oder den Import von Bildern. Eine vorgeschaltete Firewall findet im Aufruf selbst nichts Auffälliges, denn die schädlichen Daten kommen erst mit der Antwort vom Server des Angreifers.
Warum hilft kein WordPress-Update?
Behoben ist der Fehler nur in Brotli selbst. Google hat am 21. Oktober die Versionen 1.0.10, 1.1.1 und 1.2.1 veröffentlicht; unter Debian und Ubuntu heißt das Paket libbrotli1. Beide Distributionen haben die Fehlerbehebung in ihre älteren Pakete übernommen, ohne die Versionsnummer von Brotli zu ändern. Ein abgesichertes Debian 13 meldet deshalb weiter Brotli 1.1.0. Entscheidend ist die Paketfassung 1.1.0-2+deb13u1; unter Debian 12 heißt die korrigierte Fassung 1.0.9-2+deb12u1, unter Ubuntu 24.04 LTS 1.1.0-2ubuntu0.1.
Das offizielle Docker-Image wordpress:latest enthielt laut Patchstack am 30. Oktober noch die verwundbare Bibliothek.
Was das für dich bedeutet
Auf einem gewöhnlichen Webhosting-Paket aktualisierst du Systembibliotheken nicht selbst. Frag deinen Hoster am besten noch heute, ob libbrotli1 auf deinem Server schon die korrigierte Fassung hat. Betreibst du einen eigenen Server, spielst du die Sicherheitsupdates deiner Distribution ein und startest danach PHP und den Webserver neu, damit die laufenden Prozesse die neue Bibliothek laden.
Ob deine Seite Pingbacks annimmt, verrät ein Testaufruf aus dem Patchstack-Beitrag: Antwortet xmlrpc.php mit dem Fehler 403 (Zugriff verweigert), 404 (nicht gefunden) oder ohne XML-Inhalt, ist dieser Weg zu. Viele Plug-ins schalten XML-RPC laut Patchstack nur über die Code-Einstellung xmlrpc_enabled ab, und die sperrt ausgerechnet Pingbacks nicht.
Bis das Update da ist, schaltest du die beiden Pingback-Befehle von XML-RPC mit ein paar Zeilen Code in der functions.php ab oder sperrst xmlrpc.php am Webserver. Nutzt du Jetpack, nimm lieber die Code-Lösung, denn Jetpack braucht xmlrpc.php für die Verbindung zu WordPress.com. Ein weiterer Codeschnipsel von Patchstack schaltet das automatische Entpacken in WordPress ab und schließt so auch die Wege über Plug-ins und Feeds. Vor jedem Eingriff in diese Datei legst du am besten eine Sicherung an; wie das geht, zeigt die Lektion zu Sicherheit und Backups im WordPress-Einsteigerkurs.
Patchstack hat die Analyse am 30. Oktober 2026 veröffentlicht.
Quellen
