WordPress 7.1.4: Angriffe auf Sicherheitslücke

Eigentlich soll ein Sicherheitsupdate eine WordPress-Website sicherer machen. Doch ausgerechnet während einer solchen Aktualisierung konnten Angreifer unter bestimmten Voraussetzungen fremden Programmcode auf einem Webserver ausführen. Diese gefährliche Schwachstelle hat das WordPress-Team am 28. Oktober 2026 mit WordPress 7.1.4 geschlossen. Insgesamt enthält die neue Version Korrekturen für 22 Sicherheitslücken.

Inzwischen ist die Situation noch ernster geworden. Sicherheitsforscher von Wordfence haben zahlreiche Angriffsversuche registriert, bei denen automatisierte Systeme nach verwundbaren WordPress-Installationen suchen. Seit dem 31. Oktober wird die Schwachstelle als CVE-2026-119977 geführt. Besonders wichtig ist jetzt, den tatsächlich installierten WordPress-Stand zu kontrollieren. Wir zeigen Dir, welche Versionen abgesichert sind und wie Du Deine Website überprüfen kannst.

WordPress 7.1.4 schließt 22 Sicherheitslücken

Das WordPress-Entwicklerteam hat Version 7.1.4 am Mittwoch, dem 28. Oktober 2026, veröffentlicht. Es handelt sich um ein reines Sicherheitsrelease, das mehrere unterschiedliche Probleme behebt. Dazu gehören Cross-Site-Scripting-Schwachstellen, unzureichend geschützte Informationen sowie eine besonders gefährliche Schwachstelle im eigentlichen Update-Prozess.

WordPress 7.1.4 Sicherheitsupdates

Am 28. Oktober 2026 wurde WordPress 7.1.4 veröffentlicht. Das Update schließt 22 Sicherheitslücken, darunter CVE-2026-119977.

↓

WordPress 7.1.4

Aktuelle Sicherheitsversion

Offizielle WordPress-Veröffentlichung vom 28.10.2026. Empfohlen für bestehende Installationen des Versionszweigs 7.1. Installation über das WordPress-Dashboard oder den offiziellen Download.

WordPress 7.1.4 herunterladen

↓

Ältere WordPress-Versionen

Sicherheits-Backports verfügbar

Bestätigte Versionen: 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11 und weitere. Langfristig wird ein Wechsel auf den aktuellen Versionszweig empfohlen.

Offizielle Releaseübersicht öffnen

Wichtig: Aktualisiere zuerst den WordPress-Kern und kontrolliere danach die tatsächlich installierte Version. Prüfe außerdem, ob Plugins, Themes und die PHP-Laufzeitumgebung aktuell sind.

Eine Firewall ersetzt keine Sicherheitsaktualisierung. Falls bereits Hinweise auf einen Angriff vorliegen, müssen außerdem mögliche Veränderungen an Dateien und Benutzerkonten untersucht werden.

Die Dateigröße der jeweiligen Pakete kann je nach Format und Version variieren und wird deshalb hier nicht ungeprüft angegeben.

Am 29. Oktober berichtete Wordfence über erste Ausnutzungsversuche. Am Freitag, dem 30. Oktober, warnten weitere Sicherheitsexperten vor den beobachteten Aktivitäten. Am 31. Oktober wurde schließlich CVE-2026-119977 als Kennung für die Schwachstelle veröffentlicht.

Merkmal	Information
Sicherheitsupdate	WordPress 7.1.4
Veröffentlichung	28. Oktober 2026
Geschlossene Schwachstellen	22
Besonders kritischer Fehler	CVE-2026-119977
CVSS 3.1	8,1, Hoch, laut Wordfence
Schwachstellenart	Race Condition, CWE-367
Mögliche Auswirkung	Remote Code Execution ohne Anmeldung
Angriffsversuche	Bestätigt
Erfolgreiche Angriffe	Bislang nicht bestätigt

WordPress selbst bewertet die Update-Schwachstelle wegen der schwierigen zeitlichen Voraussetzungen niedriger als Wordfence. Das ist kein Widerspruch. Die Wahrscheinlichkeit einer erfolgreichen Ausnutzung und die möglichen Folgen eines erfolgreichen Angriffs sind unterschiedliche Aspekte einer Sicherheitsbewertung.

CVE-2026-119977: Sicherheitslücke während des WordPress-Updates

Die gefährlichste Schwachstelle steckt nicht in einem zusätzlichen Plugin oder Theme, sondern im WordPress-Kern – genauer gesagt in der Verarbeitung vollständiger Core-Updates.

Wenn WordPress eine neue Version installiert, muss das Installationspaket zunächst entpackt werden. Ältere WordPress-Versionen verwendeten dafür unter bestimmten Bedingungen vorhersehbare Verzeichnisse innerhalb von wp-content/upgrade. Dort konnten zeitweise Dateien des WordPress-Installationsprogramms liegen.

War dieses Verzeichnis über das Internet erreichbar und erlaubte der Webserver dort die Ausführung von PHP-Dateien, entstand eine gefährliche Situation. Ein Angreifer konnte versuchen, die temporären Installationsdateien genau während des Entpackens aufzurufen.

Unter passenden Bedingungen konnte das zur Ausführung fremden PHP-Codes führen. Eine vorherige Anmeldung an der WordPress-Website war dafür nicht notwendig.

Warum die Schwachstelle schwierig auszunutzen ist

Der entscheidende Punkt ist das Zeitfenster. Die gefährdeten Dateien standen während eines vollständigen Updates normalerweise nur wenige Sekunden zur Verfügung. Ein Angreifer musste deshalb einen genau passenden Moment treffen.

Solche Fehler werden als Race Condition bezeichnet. Die technische Ausnutzung hängt davon ab, in welcher zeitlichen Reihenfolge verschiedene Verarbeitungsschritte stattfinden.

Das macht den Angriff anspruchsvoll, aber nicht unmöglich. Automatisierte Programme können sehr viele Anfragen versenden und versuchen, das kurze Zeitfenster zu erwischen. Genau diese Vorgehensweise haben Sicherheitsforscher bei den aktuellen Angriffsversuchen beobachtet.

Angreifer suchen bereits nach verwundbaren WordPress-Websites

Nach Angaben von Wordfence begannen die verdächtigen Anfragen bereits kurz nach der Bereitstellung einer speziellen Firewallregel am 28. Oktober. Die Sicherheitsforscher registrierten zunächst mehr als 18.500 entsprechende Anfragen innerhalb von 21 Stunden. Später wurden auch deutlich höhere Zahlen gemeldet.

Die Anfragen richteten sich auf temporäre Installationsverzeichnisse und Dateien, wie sie während eines WordPress-Core-Updates entstehen können. Einige Angreifer wiederholten solche Zugriffsversuche über viele Stunden hinweg.

Allerdings muss man zwischen einem blockierten Angriffsversuch und einer tatsächlich kompromittierten Website unterscheiden. Die beobachteten Anfragen belegen zwar, dass die Schwachstelle angegriffen wird – sie belegen aber nicht, dass alle betroffenen Websites verwundbar waren oder erfolgreich übernommen wurden.

Wenn Du allgemein wissen möchtest, welche Spuren eine kompromittierte WordPress-Installation hinterlassen kann, findest Du weitere Informationen in unserem Beitrag WordPress gehackt: Ursachen, Folgen und Schutzmaßnahmen.

Welche WordPress-Versionen sind betroffen und welche sind sicher?

Nach den Informationen von Wordfence betrifft CVE-2026-119977 verwundbare WordPress-Core-Versionen ab 4.7 bis einschließlich 7.1.3. Das WordPress-Team hat die entsprechenden Sicherheitskorrekturen auch für zahlreiche ältere Versionszweige bereitgestellt.

WordPress-Zweig	Korrigierte Version
7.1	7.1.4
7.0	7.0.8
6.9	6.9.11
6.8	6.8.12
6.7	6.7.11
6.6	6.6.11
6.5	6.5.14
6.4	6.4.14
4.7	4.7.39

Für weitere ältere Versionszweige stehen ebenfalls entsprechende Sicherheitskorrekturen bereit. Das bedeutet aber nicht, dass solche alten Installationen langfristig sicher bleiben. WordPress weist ausdrücklich darauf hin, dass nur der aktuelle Versionszweig vollständig aktiv unterstützt wird.

Wenn Deine Website noch eine ältere Hauptversion verwendet, solltest Du deshalb neben der unmittelbaren Sicherheitskorrektur auch ein Upgrade auf den aktuellen WordPress-Zweig planen. Gerade bei umfangreichen Websites empfiehlt sich vorher ein Test der eingesetzten Themes und Plugins.

Welche weiteren Sicherheitsprobleme behebt WordPress 7.1.4?

Neben der Schwachstelle im Update-Prozess enthält WordPress 7.1.4 zahlreiche weitere Sicherheitskorrekturen. Viele davon betreffen Funktionen, die bei der Bearbeitung von Inhalten verwendet werden.

Cross-Site-Scripting in WordPress-Blöcken

Mehrere Schwachstellen ermöglichen unter bestimmten Voraussetzungen Stored Cross-Site-Scripting. Dabei lassen sich präparierte Inhalte dauerhaft speichern und später im Browser anderer Personen ausführen.

Betroffen waren unter anderem Funktionen der Interactivity API, des Customizers und verschiedene Inhaltsblöcke. Einige Angriffsmöglichkeiten setzten ein Benutzerkonto mit bestimmten Bearbeitungsrechten voraus.

Vertrauliche Informationen und unzureichende Berechtigungen

Ein weiterer Fehler konnte es nicht angemeldeten Besuchern ermöglichen, bestimmte unveröffentlichte Customizer-Änderungen zu erkennen. Zusätzlich wurden Berechtigungsprobleme beim Zugriff auf interne Notizen korrigiert.

WordPress hat außerdem die mitgelieferten Stammzertifikate aktualisiert. Hintergrund ist der Sicherheitsvorfall bei eMudhra, bei dem Zertifikatsschlüssel kompromittiert worden waren.

Die offizielle Zusammenstellung zählt insgesamt 22 korrigierte Schwachstellen. Nicht jede davon ist über das Internet ohne Anmeldung ausnutzbar. Trotzdem ist das Sicherheitsupdate für alle Betreiber aktueller WordPress-Websites relevant.

WordPress 7.1.4 installieren: Schritt für Schritt

Die Installation ist für die meisten Anwender unkompliziert. Allerdings solltest Du vor der Aktualisierung zunächst prüfen, ob eine vollständige Datensicherung vorhanden ist.

1. Melde Dich bitte mit einem Administratorkonto im WordPress-Dashboard an.
2. Kontrolliere dann, ob ein aktuelles Backup der WordPress-Dateien und Datenbank vorliegt.
3. Öffne anschließend im linken Menü den Bereich Dashboard und anschließend Aktualisierungen.
4. Prüfe, welche WordPress-Version momentan installiert ist.
5. Falls WordPress 7.1.4 angeboten wird, starte die Aktualisierung über die vorgesehene Schaltfläche.
6. Warte, bis WordPress den Vorgang vollständig abgeschlossen hat.
7. Öffne anschließend erneut die Aktualisierungsübersicht und überprüfe die angezeigte Versionsnummer.
8. Teste danach die Startseite, einzelne Beiträge, den Administrationsbereich und wichtige Plugins.

Viele WordPress-Installationen spielen kleinere Sicherheitsupdates automatisch ein. Trotzdem solltest Du Dich nicht ausschließlich darauf verlassen. Automatische Aktualisierungen können beispielsweise durch fehlerhafte Dateiberechtigungen, Hosting-Einstellungen oder ungewöhnliche Serverkonfigurationen scheitern.

Wie sich vollständige Sicherungen aus WordPress-Dateien und Datenbanken erstellen lassen, zeigen wir in Automatisierte Backups von WordPress-Websites unter Windows erstellen.

WordPress zusätzlich gegen Angriffe auf den Update-Ordner absichern

Administratoren können eine zusätzliche Schutzmaßnahme einrichten: Sie können verhindern, dass Besucher über HTTP oder HTTPS direkt auf Dateien im WordPress-Verzeichnis wp-content/upgrade zugreifen. Der normale WordPress-Aktualisierungsprozess benötigt keinen öffentlichen Zugriff auf dieses Verzeichnis. Eine Sperre auf Webserverebene kann deshalb die Angriffsfläche reduzieren.

Beispiel für Nginx

Bei einem selbst verwalteten Nginx-Webserver kann eine Regel innerhalb des passenden server-Blocks verwendet werden:

location ^~ /wp-content/upgrade/ {
    deny all;
}

Die Regel muss zur tatsächlichen Verzeichnisstruktur Deiner WordPress-Installation passen. Verwende sie deshalb nicht ungeprüft auf einem produktiven Webserver. Nach der Änderung sollten Administratoren die Nginx-Konfiguration testen, die Konfiguration kontrolliert neu laden und überprüfen, ob die Website weiterhin funktioniert.

Wenn Du WordPress unter Microsoft IIS betreibst, gelten andere Konfigurationsmöglichkeiten. Dort werden entsprechende Zugriffe über IIS-Regeln und die Serververwaltung eingeschränkt. Weitere Informationen zur Plattform findest Du in WordPress auf Windows Server betreiben.

Auch bei lokalen Testinstallationen sind regelmäßige Updates sinnvoll. Wie Du eine solche Testumgebung unter Windows einrichtest, erklären wir in WordPress lokal unter Windows installieren.

Schützt Wordfence zuverlässig vor CVE-2026-119977?

Wordfence hat für diese Schwachstelle eine spezielle Firewallregel entwickelt. Bei berechtigten Premium-Installationen kommt sie bereits zum Einsatz; für die kostenlose Version war die entsprechende Regel mit zeitlicher Verzögerung vorgesehen.

Eine Firewallregel ist allerdings kein vollständiger Ersatz für das Sicherheitsupdate. Gerade bei Angriffen auf direkt erreichbare temporäre PHP-Dateien ist entscheidend, ob die Firewall vor der eigentlichen Ausführung dieser Dateien aktiv wird.

Administratoren sollten den WordPress-Kern deshalb aktualisieren und zusätzliche Schutzregeln als ergänzende Maßnahme betrachten. Bei bereits verdächtigen Aktivitäten ist außerdem eine Untersuchung des Servers sinnvoll.

Was tun, wenn Deine WordPress-Website bereits angegriffen wurde?

Ein Sicherheitsupdate beseitigt die zugrunde liegende Schwachstelle. Es entfernt aber nicht automatisch Schadprogramme oder zusätzliche Benutzerkonten, die ein Angreifer möglicherweise zuvor angelegt hat.

Wenn ungewöhnliche Aktivitäten festgestellt wurden, solltest Du die betroffene Installation deshalb gründlicher kontrollieren.

1. Sichere vorhandene Webserver- und Sicherheitsprotokolle für eine spätere Untersuchung.
2. Prüfe auffällige HTTP-Anfragen an Dateien im Verzeichnis wp-content/upgrade.
3. Kontrolliere sämtliche WordPress-Administratoren und andere privilegierte Benutzerkonten.
4. Überprüfe installierte Plugins, Must-Use-Plugins und ungewöhnlich veränderte Dateien.
5. Kontrolliere bei Verdacht auf eine Kompromittierung die Zugangsdaten und sichere eine möglicherweise notwendige Wiederherstellung aus einem sauberen Backup ab.

Besonders wichtig ist die Prüfung von unbekannten Administratoren und schädlichen Plugins. Solche Veränderungen konnten wir bereits beim jüngsten UpdraftPlus-Sicherheitsvorfall mit WordPress-Backdoors beobachten. Die Ursachen sind unterschiedlich, die notwendigen Untersuchungen überschneiden sich jedoch teilweise.

Warum auch die PHP-Version überprüft werden sollte

Das aktuelle WordPress-Sicherheitsupdate korrigiert die beschriebenen Fehler innerhalb des WordPress-Kernsystems. Es aktualisiert aber nicht automatisch die PHP-Laufzeitumgebung, die auf dem Webserver installiert ist.

Das ist gerade im Oktober 2026 besonders wichtig. Erst kürzlich wurden mehrere kritische PHP-Sicherheitslücken bekannt. Die dazu veröffentlichten Versionen und Schutzmaßnahmen findest Du in unserem Beitrag PHP2Shell: Neue PHP-Sicherheitsupdates installieren.

Auch die anschließend bekannt gewordene PHP-Schwachstelle CVE-2026-115560 muss separat berücksichtigt werden. Ein aktuelles WordPress-System bedeutet nicht automatisch, dass alle darunterliegenden Komponenten sicher sind.

Unsere Erfahrung: Nach Sicherheitsupdates nicht nur auf die Versionsnummer schauen

Bei größeren WordPress-Websites würde ich nach einer Sicherheitsaktualisierung immer auch einen kurzen Funktionstest durchführen. Gerade wenn viele Plugins, eigene Anpassungen oder komplexe Theme-Funktionen im Einsatz sind, lassen sich Probleme so frühzeitig erkennen.

Besonders wichtig sind dabei die Anmeldung im Backend, die Bearbeitung von Beiträgen, Kontaktformulare und die Darstellung der Startseite. Bei Onlineshops sollte außerdem ein Test des Warenkorbs und des Bestellablaufs dazugehören.

Falls Deine Website nach einem Update plötzlich nicht mehr erreichbar ist, bedeutet das nicht automatisch einen erfolgreichen Angriff. Häufig stecken auch Plugin-Konflikte, PHP-Fehler oder Serverprobleme dahinter. Unser Beitrag Domain nicht erreichbar: Ursachen und Lösungen erläutert verschiedene Möglichkeiten zur Fehlersuche.

FAQ: Häufige Fragen zur WordPress Sicherheitslücke CVE-2026-119977

Fazit: WordPress 7.1.4 zeitnah installieren und Installation prüfen

WordPress 7.1.4 ist eines der wichtigsten Sicherheitsupdates für WordPress-Betreiber im Oktober 2026. Neben zahlreichen Cross-Site-Scripting- und Berechtigungsproblemen wird auch eine gefährliche Schwachstelle im eigenen Update-Prozess geschlossen. Dass Sicherheitsforscher bereits zahlreiche entsprechende Angriffsversuche beobachten, unterstreicht die Bedeutung des Updates.

Für die meisten Websitebetreiber ist die wichtigste Maßnahme unkompliziert: Prüfe die installierte WordPress-Version und aktualisiere bei Bedarf auf 7.1.4 beziehungsweise auf die korrigierte Version Deines verwendeten Zweigs. Achte zusätzlich auf funktionierende Backups und überprüfe verdächtige Aktivitäten. Die vollständigen Informationen zur Veröffentlichung findest Du in der offiziellen WordPress-Sicherheitsankündigung vom 28. Oktober 2026.