Ing. Calogero Bono
WordPress 7.1.4 ist ein Sicherheitsrelease vom 28. Oktober und enthält die Behebung einer Lücke, die während eines Core-Updates die Ausführung von Code auf dem Server erlaubt. Die US-Behörde CISA hat bestätigt, dass die Schwachstelle, CVE-2026-119977, ausgenutzt wird, und sie in den KEV-Katalog aufgenommen. Das ist wichtig, weil der Angriff kein Konto auf der Website voraussetzt. Wenn du WordPress-Seiten betreust, solltest du das Update nicht aufschieben.
Ein paar Begriffe, bevor wir zu den Fakten kommen. CVE ist der Code, der eine bekannte Schwachstelle identifiziert. TOCTOU (time-of-check time-of-use) ist eine Race Condition, also ein Fehler, bei dem sich etwas zwischen Prüfung und Nutzung einer Ressource ändert. RCE bedeutet Remote Code Execution, also die Ausführung von Code aus der Ferne. KEV ist der Katalog der CISA für Schwachstellen, deren Ausnutzung nachgewiesen ist. XSS stored ist ein im Berich der Website gespeichertes Schadskript, das Besuchern ausgeliefert wird.
Worum geht es bei der Lücke CVE-2026-119977?
Laut der offiziellen Mitteilung von WordPress handelt es sich um eine Schwachstelle im Updateprozess, die während des Upgrade-Fensters zur Ausführung von Code aus der Ferne führen kann. Gemeldet wurde sie von Umut Bayram, Forscher bei Picus Security.
Wie BleepingComputer berichtet, entsteht das Problem durch vorhersehbare, aus dem Web erreichbare Staging-Pfade bei vollständigen Core-Updates. Der Schweregrad ist hoch, mit einem CVSS-Wert von 8.1 laut The Hacker News, und die Komplexität des Angriffs ist hoch.
Wie stark wird sie tatsächlich ausgenutzt?
Die CISA hat die Lücke in den KEV-Katalog aufgenommen und die zivilen Bundesbehörden angewiesen, bis zum 6. November 2026 zu korrigieren. Die Behörde hat auch private Unternehmen aufgefordert, den Patch zu priorisieren.
Die Zahlen stammen von Wordfence, es handelt sich also um Aussagen eines Sicherheitsunternehmens. BleepingComputer meldet 13.095 blockierte Angriffe in 24 Stunden. The Hacker News nennt mehr als 18.500 Anfragen an Pfade wie «setup-config.php» in den ersten 21 Stunden und 12.632 blockierte Angriffe in einem weiteren 24-Stunden-Fenster. Previdian verzeichnete am 30. Oktober drei Versuche gegen seine Honeypot.
Was behebt WordPress 7.1.4 sonst noch?
Das Release betrifft nicht nur das Upgrade. Die offizielle Liste umfasst mehrere XSS-stored-Lücken in Blöcken und Funktionen des Core.
- Block Categories, Playlist- und Bildblock, Blöcke zur Kommentarpaginierung
- Interactivity API, mit mehreren XSS und einem Fall von Denial of Service
- Customizer, mit einer XSS und der Entdeckung unveröffentlichter Changesets durch anonyme Nutzer
- Anfragen zur Löschung personenbezogener Daten und gezielt konstruierte Benutzernamen
Korrigiert werden außerdem das Lesen von Notizen durch privilegierte Nutzer ohne Bearbeitungsrechte sowie die Root-Zertifikate, aktualisiert wegen des Widerrufs von eMudhra.
Warum ist 2026 ein schwieriges Jahr für den WordPress-Core?
Laut BleepingComputer hat das Sicherheitsteam im Juli die wp2shell-Kette behoben, bestehend aus einer Verwechslung in den Batch-Routen der REST API (CVE-2026-63030) und einer SQL Injection (CVE-2026-60137). Öffentliche Exploits erschienen einen Tag nach den Patches.
Im September nutzte ein chinesischsprachiger Akteur die Kette, um Daten aus mehr als 18.500 Datenbankeinträgen kleiner Unternehmen und öffentlicher Einrichtungen abzuziehen. Der Präzedenzfall zeigt, wie kurz die Zeit zwischen Patch und Angriff ist. Zur Vertiefung erklärt unser Leitfaden zur WordPress-Sicherheit die grundlegenden Schutzmaßnahmen.
Grenzen, die du kennen solltest
Wir wissen nicht, wer hinter den Angriffen steckt und wie viele Websites kompromittiert wurden. Die CISA hat keine Details zur Ausnutzung veröffentlicht, und die Zahlen zu den blockierten Angriffen stammen von Wordfence, mit unterschiedlichen Zeitfenstern je nach Quelle. Die Korrekturen für ältere Zweige bis 4.7 sind noch in Arbeit und erscheinen, sobald sie fertig sind.
Was sich für alle ändert, die digital arbeiten
Aktualisiere sofort auf 7.1.4 über den Punkt Aktualisierungen im Dashboard, falls die automatischen Updates noch nicht gelaufen sind. Wenn du noch keinen Ablauf hast, ist unsere Strategie für Updates ohne Ausfall der Website ein guter Startpunkt. Wer viele Websites für Kunden betreut, sollte auch die vergessenen prüfen. Eine Firewall wie die im Leitfaden zu Sicherheits-Plugins verglichenen hilft, ersetzt aber nicht den Patch.
Unsere Einschätzung
Das Unangenehmste ist, dass die Lücke genau den Mechanismus trifft, mit dem man sich schützen sollte. Updaten ist die Verteidigung, doch während des Updates entsteht ein Zeitfenster mit Risiko. Positiv ist die schnelle Reaktion des Sicherheitsteams. Negativ ist das Tempo von 2026, mit einer Exploit-Kette im Juli und einer weiteren ausgenutzten Lücke im Oktober. Wer Updates als Aufgabe für, wenn gerade Zeit ist, behandelt, wettet gegen die Zahlen.
Häufig gestellte Fragen
Was behebt WordPress 7.1.4?
Es behebt eine Lücke zur Codeausführung im Updateprozess und mehrere XSS-stored-Fehler. Enthalten ist außerdem die Korrektur eines Falls von Denial of Service und die Aktualisierung der Root-Zertifikate.
Braucht die Lücke CVE-2026-119977 ein Konto?
Nein. Laut Wordfence, auf das sich die Quellen beziehen, ist kein Konto nötig. Der Angreifer muss allerdings ein kurzes Zeitfenster während eines vollständigen Core-Updates nutzen.
Wann erscheint WordPress 7.2?
Es ist für den 8. Dezember geplant. Die Beta 3 ist bereits verfügbar und enthält die anwendbaren Korrekturen.
Erhalten auch ältere Versionen den Patch?
Teilweise ja. Die Korrekturen werden auf alle geeigneten Zweige bis 4.7 zurückportiert und erscheinen, sobald sie fertig sind. WordPress erinnert daran, dass nur die neueste Version aktiv unterstützt wird.
Gilt die CISA-Frist auch für italienische Unternehmen?
Nein, die Frist vom 6. November betrifft nur US-Bundesbehörden. Die CISA empfiehlt aber auch dem Privatsektor, den Patch zu priorisieren.
Worauf du in den kommenden Wochen bei WordPress achten solltest
Der Patch ist verfügbar, doch die Aufmerksamkeit richtet sich nun auf die älteren Zweige und die Beta 7.2. Am riskantesten ist die Phase, in der der Exploit kursiert und die Websites nicht aktualisiert sind.
- Prüfe, wann die Backports für die älteren Versionen kommen, die du noch nutzt, und plane die Migration.
- Lies die Serverprotokolle und suche nach Anfragen an Installationspfade wie setup-config.php.
- Verfolge die Notizen zur Beta 3 und zu 7.2, das für den 8. Dezember geplant ist, bevor du im Produktivbetrieb aktualisierst.
