WordPress 7.1.4 behebt RCE, während Angreifer Websites sondieren
WordPress 7.1.4, veröffentlicht am 28. Oktober 2026, behebt 22 Sicherheitslücken, darunter eine remote code execution-Schwachstelle, durch die ein Angreifer ohne Benutzerkonto Code auf dem Server einer Website ausführen könnte. Wordfence berichtet, dass Angreifer bereits wenige Minuten nach der Bereitstellung einer neuen firewall-Regel damit begannen, nach der Schwachstelle zu suchen. Daher ist es für Website-Betreiber wichtig zu bestätigen, dass ihre Installation das Sicherheitsupdate tatsächlich erhalten hat.
Das schwerwiegendste Problem ist CVE-2026-119977, das im Common Vulnerability Scoring System (CVSS), einer Standardskala zur Bewertung von Sicherheitslücken, mit 8,1 beziehungsweise „High“ eingestuft ist. Betroffen ist WordPress Core, die zentrale Software, auf der eine WordPress-Website basiert, von Version 4.7 bis 7.1.3. Bei der Schwachstelle handelt es sich um eine nicht authentifizierte race condition. Das bedeutet, dass ein Angreifer ohne Benutzerkonto während einer sehr kurzen und präzise abgestimmten Abfolge von Ereignissen handeln muss. Eine erfolgreiche Ausnutzung kann zu remote code execution (RCE) führen, wodurch Code von einem anderen Ort aus auf dem Server ausgeführt werden kann.
Der anfällige Moment tritt während eines Core-Updates auf, das ein vollständiges WordPress-Paket verwendet. Betroffene Versionen entpacken die Ersatzdateien in ein vorhersehbares temporäres Verzeichnis unter wp-content/upgrade. Diese staged copy, also Dateien, die vor ihrer Inbetriebnahme vorübergehend vorbereitet werden, enthält den WordPress-Installer. Auf Servern, auf denen dieses temporäre Verzeichnis über das Web erreichbar ist, kann ein Angreifer den Installer während des laufenden Updates aufrufen, mit der staged WordPress copy interagieren und sich der Ausführung von PHP nähern, der Programmiersprache, mit der WordPress betrieben wird.
Mehrere Bedingungen müssen gleichzeitig erfüllt sein. Das Update muss ein vollständiges Paket mit dem Installer verwenden, das staging directory muss öffentlichen Web- und PHP-Zugriff erlauben, der Angreifer muss dessen Pfad vorhersagen oder ermitteln, und der Vorgang muss lange genug verfügbar bleiben, um den Angriff abzuschließen, bevor WordPress die temporären Dateien löscht. Von Wordfence angeführte Laborbeobachtungen ergaben, dass das offengelegte Verzeichnis normalerweise nur wenige Sekunden lang existierte. Daher ist es unwahrscheinlich, dass eine einzelne Anfrage genau den richtigen Moment trifft, doch wiederholte automatisierte Anfragen können die Chance erhöhen, die race condition auszunutzen.
WordPress 7.1.4 ändert diesen Vorgang, indem es das temporäre Verzeichnis randomisiert, dort eine schützende index-Datei ablegt und die unsichere Übernahme vorbereiteter Konfigurationsdaten blockiert. Der Fix wurde außerdem bis zurück zu WordPress 4.7 in ältere branches übernommen. Gepatchte Releases sind 4.7.39, 4.8.34, 4.9.35, 5.0.31, 5.1.28, 5.2.30, 5.3.27, 5.4.25, 5.5.24, 5.6.23, 5.7.21, 5.8.19, 5.9.20, 6.0.18, 6.1.16, 6.2.15, 6.3.14, 6.4.14, 6.5.14, 6.6.11, 6.7.11, 6.8.12, 6.9.11, 7.0.8 und 7.1.4. WordPress 4.6 und ältere Versionen erhalten keine Sicherheitsupdates mehr und müssen auf ein unterstütztes Release umgestellt werden.
Wordfence gibt an, am 28. Oktober um 20:30 Uhr UTC, etwa drei Stunden nach der Release-Ankündigung von WordPress, eine firewall-Regel bereitgestellt zu haben. Eine firewall ist Software, die Anfragen untersucht und Datenverkehr blockiert, der schädlichen Mustern entspricht. Kunden von Wordfence Premium, Care und Response erhielten die Regel sofort, während sie für Nutzer von Wordfence Free nach der üblichen Verzögerung von 30 Tagen am 27. November 2026 bereitgestellt werden soll. Der erste Treffer wurde neun Minuten nach der Bereitstellung registriert. In den folgenden 21 Stunden verzeichnete Wordfence mehr als 18.500 Anfragen, die auf staged setup-config.php-Installer-Pfade zielten.
Zwei der größten Anfragequellen überprüften wiederholt kleine Gruppen von Websites über einen Zeitraum von etwa 14,5 Stunden. Dieses Verhalten entsprach laut Wordfence Versuchen, das kurze Update-Zeitfenster zu treffen. Andere Quellen probierten zahlreiche Varianten von staging directory- und Versionsnamen aus. Nicht jede Anfrage entsprach dem exakten anfälligen Pfad, doch das anhaltende Polling und die Probes entlang der erwarteten Verzeichnisstruktur zeigten, dass Angreifer begonnen hatten, gezielt die zeitabhängige Schwachstelle anzugreifen.
Websites, die Wordfence verwenden, benötigen dessen Modus Extended Protection, damit diese spezielle Regel früh genug greifen kann. Der Exploit ruft eine staged PHP-Datei direkt auf, statt zuerst WordPress zu laden. Daher muss die firewall ausgeführt werden, bevor die angeforderte Datei erreicht wird. Wordfence betont, dass diese Regel kein Ersatz für ein Update ist, da die Installation eines gepatchten Core-Release das anfällige Verhalten selbst beseitigt.
Die weiteren Fixes betreffen mehrere Sicherheitskategorien. WordPress nennt stored cross-site scripting, bei dem schädlicher Browser-Code auf einer Website gespeichert und später ausgeführt wird, wenn jemand die betroffenen Inhalte aufruft. Betroffen waren block delimiters, der Categories block, Labels für Comments Pagination und Post Navigation, Customizer selective refresh, Anfragen zur Löschung personenbezogener Daten, speziell konstruierte Benutzernamen sowie die Verarbeitung von Image- und Playlist blocks.
Das Release behebt außerdem Probleme der Interactivity API im Zusammenhang mit unsicheren URL-, event-handler-, internal-property- und object bindings. Die Interactivity API ist eine WordPress-Schnittstelle, mit der Seiten interaktives Verhalten hinzugefügt wird. Verwandte Fixes betreffen prototype pollution, wodurch Daten von anderen Softwareobjekten geerbte Eigenschaften verändern können, Script Module data shadowing, die Verarbeitung hochgeladener Textdateien im Interactivity Router sowie einen anhaltenden Zustand vom Typ denial of service, der den normalen Betrieb eines Dienstes verhindern konnte.
Weitere Fixes betreffen die nicht authentifizierte Offenlegung unveröffentlichter Customizer changesets und eine Schwachstelle bei der Autorisierung in der Notes REST API. Eine REST API ist eine Schnittstelle, über die Software Webanfragen an eine andere Anwendung sendet. Die Notes-Schwachstelle betrifft benutzerdefinierte Rollen, die Kommentare moderieren dürfen, aber nicht den Beitrag bearbeiten können, der eine Notiz enthält. WordPress aktualisierte nach dem Widerruf durch eMudhra außerdem seine mitgelieferten root certificates, also vertrauenswürdige records zur Überprüfung sicherer Verbindungen.
Viele dieser zusätzlichen Schwachstellen setzen ein angemeldetes Contributor-, Author- oder Editor-Konto voraus, und bei einigen muss ein Opfer zudem vom Angreifer kontrollierte Inhalte öffnen. Diese Voraussetzungen begrenzen die Gefährdung im Vergleich zur nicht authentifizierten RCE. stored cross-site scripting kann jedoch weiterhin die Übernahme von Konten oder nicht autorisierte Änderungen an einer Website ermöglichen, wenn ein privilegierter Benutzer eine schädliche Seite aufruft.
Website-Betreiber sollten das Dashboard öffnen, Updates auswählen und bestätigen, dass als Version 7.1.4 oder das gepatchte Release für ihren branch angezeigt wird, statt davon auszugehen, dass das automatische Hintergrund-Update erfolgreich war. Falls eine Website ungepatcht blieb, sollten Administratoren Anfragen an PHP-Dateien unter wp-content/upgrade überprüfen und unbekannte Administratorkonten, unerwartete Plugins oder nicht von ihnen installierte PHP-Dateien untersuchen. Wordfence empfiehlt außerdem, nach dem Update einen Scan auszuführen, um nach veränderten Core-Dateien, schädlichen Dateien und weiteren Hinweisen zu suchen, die untersucht werden müssen.
Für Organisationen, die eine verwaltete Umgebung bevorzugen, bietet AEU Hosting durchgehend abgesichertes Managed WordPress Hosting. Unabhängig von der Hosting-Konfiguration besteht die wesentliche Reaktion darin, das passende Sicherheitsrelease zu installieren und den erfolgreichen Abschluss des Updates zu überprüfen, da Angreifer bereits wiederholt versuchen, den kurzen anfälligen Moment zu treffen.