WordPress 7.1.4: Angreifer zielen schon auf die Update-Lücke
WordPress 7.1.4 schließt eine Lücke, über die Angreifer ohne Anmeldung während eines Core-Updates Code einschleusen können. Wordfence zählte binnen 21 Stunden über 18.500 Angriffsversuche. Welche Versionen betroffen sind und was Betreiber jetzt prüfen sollten.
WordPress betreibt einen großen Teil aller Unternehmenswebsites, vom Handwerksbetrieb bis zum Mittelständler. Am 28. Oktober 2026 hat das Projekt die Version 7.1.4 als Sicherheitsupdate veröffentlicht. Die schwerste der behobenen Lücken steckt ausgerechnet im Update-Prozess selbst, und Angreifer versuchen bereits, sie auszunutzen. Wer eine WordPress-Seite betreibt oder betreiben lässt, sollte deshalb nicht nur auf die automatischen Updates vertrauen, sondern kurz nachsehen.
Die Lücke steckt im Update selbst
Die gefährlichste Schwachstelle trägt nach Angaben des Sicherheitsanbieters Wordfence die Kennung CVE-2026-119977 und ist mit CVSS 8,1 (hoch) bewertet. Gefunden hat sie der Sicherheitsforscher Umut Bayram. Der Ablauf laut Wordfence:
- Bei einem Update mit dem vollständigen Core-Paket entpackt WordPress die neuen Dateien zunächst in ein Zwischenverzeichnis unter
wp-content/upgrade. - Der Pfad dorthin ist vorhersehbar und auf vielen Servern aus dem Netz erreichbar.
- Die Kopie enthält auch den Installer. Wer ihn im richtigen Moment aufruft, kann bis zur Ausführung eigenen PHP-Codes kommen.
- Eine Anmeldung braucht der Angreifer dafür nicht.
Ganz einfach ist der Angriff nicht: Er muss genau in das kurze Zeitfenster fallen, bevor WordPress das Verzeichnis wieder aufräumt. Im Labor von Wordfence blieb dieses Fenster nur Sekunden offen. Das Update behebt das Problem mit einem zufällig benannten Zwischenverzeichnis und zusätzlichen Schutzmaßnahmen.
Die ersten Angriffe kamen nach Minuten
Wordfence hat eine Firewall-Regel gegen die Lücke etwa drei Stunden nach dem Release ausgerollt. Der erste Treffer kam neun Minuten später. In den ersten 21 Stunden zählte der Anbieter mehr als 18.500 Anfragen auf die betroffenen Installer-Pfade. Nicht jede davon traf laut Wordfence den exakt anfälligen Pfad, und erfolgreich übernommene Seiten sind bisher nicht belegt. Das Interesse der Angreifer ist aber eindeutig.
„Threat actors are already actively attempting to exploit it, so site owners should verify that WordPress has updated to 7.1.4 or the corresponding security release for their branch.“
So fasst es Wordfence in seiner Analyse vom 29. Oktober zusammen. Nutzer der kostenlosen Wordfence-Version erhalten die Firewall-Regel übrigens erst am 27. November 2026, also knapp einen Monat später.
Welche Versionen betroffen sind
Anfällig sind laut Wordfence alle Versionen von 4.7.0 bis 7.1.3. Neben 7.1.4 gibt es Sicherheitsversionen für ältere Zweige, etwa 7.0.8, 6.9.11 und 6.8.12, zurück bis 4.7.39. WordPress weist darauf hin, dass einige dieser Rückportierungen noch nach und nach erscheinen. Für Version 4.6 und älter gibt es gar keine Sicherheitsupdates mehr.
Die Zahl der insgesamt behobenen Lücken wird unterschiedlich angegeben: Die WordPress-Ankündigung listet 12 Punkte, von denen einer mehrere Lücken bündelt, Wordfence zählt anhand der ausführlichen Dokumentation 22. Darunter sind mehrere Cross-Site-Scripting-Lücken in der Interactivity API, einsehbare unveröffentlichte Customizer-Änderungen und zwei weitere XSS-Lücken, die laut WordPress von Anthropic gemeldet wurden. Außerdem aktualisiert 7.1.4 die mitgelieferten Root-Zertifikate, eine Folge der geknackten eMudhra-Schlüssel.
Was das für Ihr Unternehmen heißt
- Version prüfen: Im WordPress-Dashboard unter „Aktualisierungen“ nachsehen, ob 7.1.4 oder die passende Sicherheitsversion Ihres Zweigs installiert ist. Laut WordPress startet das Update auf Seiten mit automatischen Hintergrund-Updates von selbst, garantiert ist das aber nicht, etwa wenn Hoster oder Agentur Updates abgeschaltet haben.
- Spuren suchen, wo das Update spät kam: Unerwartete PHP-Dateien unter
wp-content/upgrade, unbekannte Administrator-Konten und fremde Plugins sind Warnzeichen. Danach einen Malware-Scan laufen lassen. - Firewall ersetzt kein Update: Eine Web Application Firewall verschafft Zeit, schließt die Lücke aber nicht.
- Alte Installationen ablösen: Seiten auf WordPress 4.6 oder älter bekommen keine Patches mehr. Sie gehören aktualisiert oder abgeschaltet.
- Zuständigkeit klären: Viele Unternehmen wissen nicht genau, wer ihre Website pflegt. Halten Sie fest, wer Updates einspielt und wer im Ernstfall reagiert. Ähnlich dringend war zuletzt PHP2Shell bei PHP selbst.
Fazit
Die Lücke in WordPress 7.1.4 ist nicht trivial auszunutzen, aber Angreifer probieren es massenhaft, und das schon wenige Minuten nach Bekanntwerden. Für die meisten Seiten erledigt das automatische Update die Arbeit, ein kurzer Blick ins Dashboard schafft Gewissheit. Wenn Sie Unterstützung bei der Prüfung oder bei einer dauerhaft gepflegten Website brauchen, sprechen Sie mich gern an.
