Was am 28. Oktober passiert ist
Am 28. Oktober ist WordPress 7.1.4 erschienen, ein Sicherheitsupdate mit zwölf Korrekturen. Viele Websites haben es längst von selbst bekommen. Ob Ihre dazugehört, sehen Sie in zwei Minuten.
Die wichtigste Korrektur betrifft ausgerechnet den Update-Vorgang. Während eines Updates legt WordPress die neuen Dateien für ein paar Sekunden in einem Ordner ab, dessen Name sich vorhersagen lässt. Im ungünstigsten Fall lässt sich in diesem kurzen Moment fremder Code auf der Website ausführen. Seit Version 7.1.4 bekommt der Ordner einen zufälligen Namen.
Die übrigen Korrekturen betreffen vor allem Lücken, für die jemand bereits ein Benutzerkonto mit Schreibrechten auf der Website braucht. Eine davon erlaubte es, noch nicht veröffentlichte Änderungen an der Gestaltung der Website mitzulesen.
Seit dem 3. November führt die US-Behörde für Cybersicherheit CISA die Lücke mit der Nummer CVE-2026-119977 als aktiv ausgenutzt. Der Sicherheitsdienst Wordfence hat innerhalb von 24 Stunden über 12'000 Angriffsversuche abgewehrt. Bestätigte Übernahmen sind bisher keine bekannt.
Wie schwer die Lücke wiegt, wird unterschiedlich beurteilt. WordPress selbst stuft sie als niedrig ein, Wordfence als hoch. Das Zeitfenster ist kurz und öffnet sich nur während eines vollständigen Updates des WordPress-Kerns.
So prüfen Sie Ihre Version in zwei Minuten
- Melden Sie sich in WordPress an.
- Klicken Sie im Dashboard links auf «Aktualisierungen». Oben auf der Seite steht, welche Version Ihre Website hat.
- Steht dort 7.1.4, ist Ihre Website auf dem aktuellen Stand.
- Für einen zweiten Blick öffnen Sie «Werkzeuge» und dann «Website-Zustand». Dort meldet WordPress, ob noch etwas offen ist.
Manche Websites bleiben bewusst auf einer älteren Hauptversion. Auch für sie gibt es eine eigene Sicherheitsversion, etwa 7.0.8, 6.9.11 oder 6.8.12, zurück bis zur Version 4.7. Websites mit 4.6 oder älter bekommen keine Korrektur mehr. Dort führt der Weg nur über eine aktuelle Version.
Wann das automatische Update nicht kommt
Sicherheitsupdates wie dieses spielt WordPress in der Regel selbst ein, ohne dass jemand klicken muss. In einigen Fällen passiert das nicht:
- Die Website wird über eine Versionsverwaltung ausgeliefert, wie sie Entwickler für ihren Code verwenden. Dann schaltet WordPress die automatischen Updates von sich aus ab.
- Jemand hat die automatischen Updates in den Einstellungen oder mit einem Plugin abgeschaltet.
- Die Installation ist sehr alt.
Sie merken es daran, dass im Dashboard eine ältere Version als 7.1.4 steht. Zuständig ist dann, wer Ihre Website betreut. Eine kurze Nachricht mit der Frage, wann das Update kommt, genügt.
Was wir gemacht haben
Die WordPress-Websites, die wir auf gewöhnlichem Webhosting betreuen, haben sich selbst aktualisiert.
Zwei Installationen laufen über eine Versionsverwaltung und aktualisieren sich darum bewusst nicht selbst. Diese beiden haben wir am 5. November von Hand aktualisiert, nach einem Test auf einer lokalen Kopie. Vor dem Klick haben wir den Ordner, in dem WordPress das Update auspackt, auf dem Webserver gesperrt. Er bleibt gesperrt.
Am 7. November haben wir bei jeder WordPress-Website, die wir betreuen, die Version von aussen abgefragt. Überall, wo sie sich ablesen lässt, steht 7.1.4.
Und die Plugins?
Der WordPress-Kern ist nur ein Teil Ihrer Website. Plugins aktualisieren sich nur dann von selbst, wenn das für jedes einzelne eingestellt ist. Und im Oktober kam die Gefahr zweimal vom Hersteller selbst. Beim Anbieter von UpdraftPlus wurden Zugangsschlüssel gestohlen, mit denen dann versteckte Hintertüren auf verbundene Websites gelangten. Bei Rank Math PRO steckte rund elf Stunden lang Schadcode im offiziellen Paket.
Ein Blick in die Plugin-Liste lohnt sich darum. Was ein Update anzeigt, aktualisieren Sie, und was niemand mehr braucht, entfernen Sie ganz. Ein Plugin, das nicht installiert ist, hat auch keine Lücke.
Wenn Sie unsicher sind, was Ihr Dashboard anzeigt, schauen wir es gern mit Ihnen an: Kontakt aufnehmen.
