Neun von zehn neu in unsere Datenbank aufgenommenen Sicherheitslücken stehen bereits im Known Exploited Vulnerabilities Catalog der CISA, der US-Behörde führt dort nur Schwachstellen, für die reale Angriffe dokumentiert sind, keine theoretischen Risikobewertungen. Wer WordPress betreibt, Microsoft SharePoint oder AD FS im Einsatz hat, oder Oracle E-Business Suite, Fortinet FortiSandbox beziehungsweise Check Point Quantum nutzt, sollte diese Liste nicht überfliegen, sondern gegen die eigene Systemlandschaft abgleichen.
Zwei der zehn Lücken betreffen direkt unser WordPress-Kundensegment, eine davon im WordPress-Kern selbst. Die übrigen acht liegen in Software, die vor allem mittelständische und größere Unternehmen mit eigener IT-Infrastruktur einsetzen. Alle Angaben stammen aus den jeweiligen CVE-Records unter cve.org und dem CISA-KEV-Katalog, Stand der Prüfung ist der 27. Juli 2026.
WordPress-Kern: SQL-Injection als Teil einer RCE-Kette
CVE-2026-60137 sitzt im author__not_in-Parameter von WP_Query, dem zentralen Abfrage-Mechanismus des WordPress-Kerns. Schwachstellenklasse CWE-89, SQL-Injection. Beim CVSS-Wert klaffen zwei Bewertungen auseinander: Die CISA setzt in ihrer eigenen Anreicherung 9.1 an, der zuweisende CNA (WPScan) selbst vergibt nur 5.9 MEDIUM (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/C:H/I:N/A:N). Die Spreizung entsteht, weil die Lücke isoliert eine Vorbedingung braucht, in der weiter unten beschriebenen Verkettung aber nicht. Die CISA hat die Lücke am 21. Juli 2026 in den KEV-Katalog aufgenommen, laut Rapid7 und SecurityWeek kursierte ein öffentlicher Proof of Concept bereits wenige Stunden nach der Offenlegung am 17. Juli.
Was die Lücke besonders macht: Sicherheitsforscher haben sie als Teil einer Kette bezeichnet, die unter dem Namen „wp2shell“ kursiert. In Kombination mit CVE-2026-63030, selbst seit dem 21. Juli im KEV-Katalog, CVSS 9.8, CWE-436 (fehlerhafte Typumwandlung), lässt sich daraus eine unauthentifizierte Remote Code Execution bauen, also die vollständige Übernahme der Webseite ohne jeden Zugangsdatensatz. Bei der SQL-Injection allein sind die Versionsreihen 6.8.0 bis 6.8.5, 6.9.0 bis 6.9.4 sowie 7.0.0 bis 7.0.1 betroffen. Der zur RCE verkettbare zweite Teil, CVE-2026-63030, betrifft laut offizieller WordPress-Release-Notiz dagegen nur die Reihen 6.9.x und 7.0.x, WordPress 6.8 ist davon ausdrücklich ausgenommen. Der Fix liegt in 6.8.6, 6.9.5 beziehungsweise 7.0.2.
GF-Klartext: Läuft Ihre Webseite auf WordPress und wurde seit Mitte Juli kein Update eingespielt, ist das kein Punkt für die nächste Wartungsrunde. WordPress.org hat für die drei betroffenen Versionsreihen inzwischen erzwungene Auto-Updates aktiviert, viele Installationen dürften also bereits automatisch auf 6.8.6, 6.9.5 oder 7.0.2 stehen. Trotzdem gilt: aktiv ausgenutzte Lücke, öffentlicher Exploit-Code, und bei 6.9.x/7.0.x zusätzlich die Kombination zu einer kompletten Serverübernahme. Prüfen Sie aktiv bei Ihrer Agentur oder Ihrem Hoster den eigenen Versionsstand, statt sich allein auf das Auto-Update zu verlassen.
Kirki-Plugin: Kontoübernahme über den Passwort-Reset
Themeum Kirki ist mit 500.000 aktiven Installationen laut Plugin-Verzeichnis ein weit verbreiteter WordPress-Page-Builder. CVE-2026-8206, CVSS 9.8, betrifft eine fehlerhafte Rechteverwaltung nach CWE-269 beim Passwort-Zurücksetzen: Sobald ein Angreifer den Benutzernamen kennt, kann er beim Reset eine beliebige E-Mail-Adresse angeben und übernimmt damit das Konto, im schlimmsten Fall ein Administratorkonto.
Anders als die WordPress-Kern-Lücke steht Kirki nach aktuellem Stand nicht im CISA-KEV-Katalog, es gibt also keine bestätigten aktiven Angriffe. Bei einem CVSS-Wert von 9.8 und einem derart einfach auszuführenden Angriffsweg, ein Benutzername reicht als Vorwissen, würde ich mich darauf trotzdem nicht verlassen. Betroffen sind die Versionen 6.0.0 bis 6.0.6, gefixt in 6.0.7.
Microsoft SharePoint: drei Lücken, eine Schwachstellenklasse
Drei der zehn CVEs betreffen SharePoint Server in den Editionen 2016, 2019 und Subscription Edition, alle drei stehen im CISA-KEV-Katalog:
CVE-2026-50522 und CVE-2026-58644 teilen sich dieselbe Schwachstellenklasse, Deserialisierung nicht vertrauenswürdiger Daten nach CWE-502, beide mit CVSS 9.8 und beide unauthentifiziert über das Netz ausnutzbar für Remote Code Execution. Die CISA hat 50522 am 22. Juli, 58644 bereits am 16. Juli in den KEV-Katalog aufgenommen. CVE-2026-56164 liegt mit CVSS 5.3 deutlich niedriger, betrifft aber eine fehlende Authentifizierung für eine kritische Funktion nach CWE-306 und führt zu unauthentifizierter Rechteausweitung, Aufnahme in den KEV-Katalog am 14. Juli.
Die betroffenen Build-Untergrenzen unterscheiden sich je nach CVE und Edition, grob liegen sie bei SharePoint 2016 unterhalb Build 16.0.5561.1001 beziehungsweise 16.0.5556.1005, bei SharePoint 2019 unterhalb 16.0.10417.20175 beziehungsweise 16.0.10417.20153, bei der Subscription Edition unterhalb 16.0.19725.20434 beziehungsweise 16.0.19725.20384. Wer SharePoint on-premises betreibt, sollte die genaue Build-Nummer der eigenen Installation gegen den jeweiligen CVE-Record prüfen, nicht gegen diese vereinfachte Zusammenfassung.
Techniker-Klartext: Zwei kritische Deserialisierungslücken mit CVSS 9.8 in derselben Produktfamilie, beide aktiv ausgenutzt, das ist kein Zufall, sondern deutet auf systematisches Scannen von SharePoint-Farmen durch Angreifergruppen hin. Wer noch keinen aktuellen Patch-Stand hat, sollte den Zugriff auf SharePoint-Endpunkte von außen zusätzlich über eine Web Application Firewall einschränken, bis das Update läuft.
Active Directory Federation Services: die Ausnahme mit lokalem Angriffsvektor
CVE-2026-56155 betrifft Microsofts AD FS, CVSS 7.8, unzureichende Zugriffskontroll-Granularität nach CWE-1220, führt zu lokaler Rechteausweitung. Die CISA hat die Lücke am 14. Juli in den KEV-Katalog aufgenommen, sie ist damit die einzige der neun KEV-Lücken in diesem Artikel mit lokalem statt Remote-Angriffsvektor, ein Angreifer braucht bereits eine gewisse Position im System, bevor er sie ausnutzen kann.
Für einen reinen Website-Scan von außen ist das kein direkt sichtbares Risiko. Relevant wird es für jeden, der Windows Server zwischen 2012 und 2025 mit AD FS betreibt, die genauen Build-Grenzen stehen im CVE-Record. Der Fix liegt im Juli-2026-Kumulativupdate von Microsoft.
Oracle E-Business Suite: unauthentifizierte Vollübernahme über HTTP
CVE-2026-46817 betrifft das Zahlungsmodul Oracle Payments innerhalb der Oracle E-Business Suite, CVSS 9.8. Der Oracle-eigene Record führt keine CWE-Klassifizierung, die CISA-Anreicherung in der NVD ordnet die Lücke CWE-269, CWE-287 und CWE-306 zu, der KEV-Titel selbst spricht von „Improper Privilege Management“ (CWE-269). Ein Angreifer braucht kein Konto, keine Anmeldedaten, nur einen präparierten HTTP-Request, und kann das betroffene System vollständig übernehmen. Aufnahme in den CISA-KEV-Katalog am 15. Juli, die CISA-Frist lief bereits am 18. Juli ab. Betroffen sind die Versionen 12.2.3 bis 12.2.15. Der Patch liegt seit dem Oracle Critical Security Patch Update vom Mai 2026 vor, wer noch nicht aktualisiert hat, hängt also nicht auf einen künftigen Termin, sondern einer bereits verfügbaren Lösung hinterher.
Oracle E-Business Suite ist typischerweise tief in Buchhaltung, Personalwesen und Lieferkette eines Unternehmens verankert, eine Kompromittierung betrifft selten nur eine Anwendung, sondern den gesamten Datenbestand dahinter.
Fortinet FortiSandbox: zwei Lücken, ein Muster
CVE-2026-25089 und CVE-2026-39808 betreffen beide FortiSandbox, jeweils CVSS 9.1, Betriebssystem-Command-Injection nach CWE-78. Ein Angreifer ohne Zugangsdaten kann Code auf dem System ausführen. Bei CVE-2026-25089 nennt der CVE-Record dafür explizit präparierte HTTP-Requests als Angriffsweg; bei CVE-2026-39808 ist dieser Weg im Record nicht so benannt, der Mechanismus ist dieselbe Schwachstellenklasse, aber nicht identisch dokumentiert. Beide stehen seit dem 16. Juli im CISA-KEV-Katalog.
CVE-2026-25089 betrifft die Versionsreihen 5.0.0 bis 5.0.5, 4.4.0 bis 4.4.8 sowie 4.2.1 bis 4.2.8, gefixt in 5.0.6, 5.2.0 beziehungsweise 4.4.9, hier ist auch die Cloud-/PaaS-Variante betroffen. CVE-2026-39808 betrifft nur 4.4.0 bis 4.4.8, gefixt in 4.4.9 beziehungsweise, bei der PaaS-Variante, 5.0.2, hier ist ausschließlich die PaaS-Variante betroffen, nicht die reguläre Cloud-Variante. FortiSandbox wird eingesetzt, um verdächtige Dateien in einer isolierten Umgebung zu analysieren, die Ironie einer Sicherheitslösung mit einer eigenen kritischen Lücke muss ich an dieser Stelle nicht weiter ausführen.
Check Point Quantum: Admin-Zugriff ohne Anmeldedaten
CVE-2026-16232 betrifft Check Point Quantum und Multi-Domain Security Management über die SmartConsole, CVSS 9.1 nach Version 3.1, 9.3 nach der neueren Version 4.0. Schwachstellenklasse CWE-287, Authentifizierungs-Bypass: ein unauthentifizierter Angreifer aus der Ferne erlangt einen Admin-Token. Aufnahme in den CISA-KEV-Katalog am 22. Juli, damit die aktuellste Aufnahme unter den zehn hier behandelten Lücken.
Betroffen sind mehrere Versionslinien gleichzeitig: R82.10 bis einschließlich Jumbo-Take 36, R82 bis Take 118, R81.20 bis Take 158, sowie die älteren Linien R81.10, R81, R80.x und R77.30. Check Point stellt den Fix über einen Jumbo Hotfix bereit, dokumentiert unter der Support-Kennung sk185169.
GF-Klartext: Eine Security-Management-Konsole ohne Zugangsdaten öffnen zu können, ist der worst case innerhalb einer Sicherheitsinfrastruktur. Wer Check Point Quantum einsetzt, sollte beim eigenen IT-Dienstleister aktiv nachfragen, ob der Jumbo Hotfix bereits eingespielt ist, nicht warten, bis die nächste reguläre Wartung ansteht.
Patch-Priorisierung: Reihenfolge statt Gleichbehandlung
Zehn neue Lücken auf einmal lassen sich nicht alle am selben Nachmittag abarbeiten. Eine sinnvolle Reihenfolge orientiert sich am CISA-KEV-Status und am Angriffsvektor, nicht am CVSS-Wert allein:
Zuerst die neun Lücken mit bestätigter aktiver Ausnutzung, priorisiert nach Erreichbarkeit von außen: WordPress-Kern und SharePoint zuerst, weil beide unauthentifiziert über das offene Netz erreichbar sind, danach Oracle E-Business Suite und Fortinet FortiSandbox aus demselben Grund, dann Check Point Quantum. AD FS mit seinem lokalen Angriffsvektor kann etwas später folgen, ohne dass dadurch das Risiko verschwindet. Kirki steht zwar nicht im KEV-Katalog, der CVSS-Wert von 9.8 und der triviale Angriffsweg rechtfertigen trotzdem eine zeitnahe statt eine aufgeschobene Behandlung. Zusätzliches Dringlichkeitsargument: Bei acht der neun KEV-Einträge aus diesem Artikel ist die von der CISA gesetzte Behebungsfrist bereits verstrichen, wer hier noch nicht gepatcht hat, arbeitet nicht mehr gegen ein Datum in der Zukunft, sondern gegen eine bereits überschrittene Deadline.
Wer WordPress im Einsatz hat, für den ist die Reihenfolge ohnehin klar: Kern-Update zuerst, weil hier bereits ein öffentlicher Exploit kursiert, Kirki-Update direkt danach.
Vollständige Datenbank statt Einzelartikel
Dieser Artikel behandelt zehn von inzwischen mehreren hundert Einträgen in unserer CVE-Sammlung. Wer prüfen will, ob eine bestimmte Software, ein bestimmter Hersteller oder eine bestimmte Schweregrad-Kategorie in unserer Datenbank vertreten ist, findet die durchsuchbare Vollliste unter expertomundi.de/wissen/cve-datenbank/, mit Filterfunktion nach Hersteller, Plattform und CVSS-Bereich.
Quellen
- CVE-2026-60137 (WordPress Core): cve.org/CVERecord?id=CVE-2026-60137, CISA-KEV-Aufnahme 21.07.2026
- CVE-2026-63030 (WordPress Core, RCE-Teil der wp2shell-Kette): cve.org/CVERecord?id=CVE-2026-63030, CISA-KEV-Aufnahme 21.07.2026
- CVE-2026-8206 (Themeum Kirki): cve.org/CVERecord?id=CVE-2026-8206
- CVE-2026-50522 (Microsoft SharePoint): cve.org/CVERecord?id=CVE-2026-50522, CISA-KEV-Aufnahme 22.07.2026
- CVE-2026-58644 (Microsoft SharePoint): cve.org/CVERecord?id=CVE-2026-58644, CISA-KEV-Aufnahme 16.07.2026
- CVE-2026-56164 (Microsoft SharePoint): cve.org/CVERecord?id=CVE-2026-56164, CISA-KEV-Aufnahme 14.07.2026
- CVE-2026-56155 (Microsoft AD FS): cve.org/CVERecord?id=CVE-2026-56155, CISA-KEV-Aufnahme 14.07.2026
- CVE-2026-46817 (Oracle E-Business Suite): cve.org/CVERecord?id=CVE-2026-46817, CISA-KEV-Aufnahme 15.07.2026
- CVE-2026-25089 (Fortinet FortiSandbox): cve.org/CVERecord?id=CVE-2026-25089, CISA-KEV-Aufnahme 16.07.2026
- CVE-2026-39808 (Fortinet FortiSandbox): cve.org/CVERecord?id=CVE-2026-39808, CISA-KEV-Aufnahme 16.07.2026
- CVE-2026-16232 (Check Point Quantum/Multi-Domain): cve.org/CVERecord?id=CVE-2026-16232, CISA-KEV-Aufnahme 22.07.2026
- CISA Known Exploited Vulnerabilities Catalog: cisa.gov/known-exploited-vulnerabilities-catalog
- Vollständige, filterbare Datenbank: expertomundi.de/wissen/cve-datenbank/
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechtsfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche Beratung. Maßgeblich ist allein der Gesetzestext in seiner geltenden Fassung; Stand: 27.07.2026. Er ersetzt keine individuelle Sicherheitsprüfung der eigenen Systeme und keine anwaltliche Einschätzung etwaiger Meldepflichten.