Eine Schwachstelle im WordPress-Kern soll es Angreifern ermöglichen, während einer Aktualisierung Schadcode auf dem Server auszuführen. Nach den vorliegenden Berichten wird die unter CVE-2026-119977 geführte Lücke bereits aktiv angegriffen. Die US-Sicherheitsbehörde CISA habe sie deshalb in ihren Katalog bekanntermaßen ausgenutzter Schwachstellen aufgenommen. Als korrigierte Ausgabe wird WordPress 7.1.4 genannt, veröffentlicht am 28. Oktober 2026.
Betroffen sind dem Ausgangsbericht zufolge die Versionen 4.7 bis 7.1.3. Die Schwachstelle wird mit einem CVSS-Wert von 8,1 als schwerwiegend eingestuft. Sie betrifft den Aktualisierungsprozess des WordPress-Kerns und ist unabhängig von installierten Plugins oder Themes.
Wer eine eigene Website oder einen Blog erstellen möchte, kommt an WordPress kaum vorbei. Passende Bücher zum weltweit beliebtesten Content-Management-System WordPress findest du bei Amazon*.
Ursache ist eine sogenannte Race Condition: Zwischen der Prüfung eines Zustands und der anschließenden Verarbeitung entsteht ein kurzes Zeitfenster, in dem ein Angreifer eingreifen kann. Beim Core-Upgrade mit einem vollständigen Installationspaket legt WordPress vorübergehend Dateien unterhalb von „wp-content/upgrade“ ab. In den betroffenen Versionen können diese Speicherorte laut Bericht vorhersehbar und über das Internet erreichbar sein.
Im Mittelpunkt steht eine temporär abgelegte Datei namens „setup-config.php“. Greift ein Angreifer im passenden Moment darauf zu, kann er mit der vorläufigen Installation interagieren und unter bestimmten Bedingungen PHP-Code auf dem Server ausführen. Ein Benutzerkonto oder eine Mitwirkung von Besuchern ist dafür demnach nicht erforderlich. Allerdings muss der Angriff mit einem laufenden Upgrade zusammenfallen, dessen verwundbare Phase nur wenige Sekunden dauern kann.
Angreifer sollen dieses enge Zeitfenster durch automatisierte, wiederholte Anfragen ausgleichen. Der Ausgangsbericht verweist auf Beobachtungen von Wordfence, wonach innerhalb der ersten 21 Stunden mehr als 18.500 Anfragen an zwischengespeicherte Installationspfade registriert worden seien. GBHackers habe über knapp 59.000 blockierte Versuche innerhalb von 24 Stunden berichtet. Weitere, von The Hacker News aufgegriffene Honeypot-Beobachtungen deuteten auf Angriffsversuche seit dem 30. Oktober hin.
Diese Zahlen lassen jedoch keinen direkten Rückschluss auf die Anzahl kompromittierter Websites zu. Registrierte oder blockierte Anfragen sind nicht mit erfolgreicher Codeausführung gleichzusetzen. Dafür müssen neben dem richtigen Zeitpunkt auch die erforderlichen Bedingungen auf dem Server vorliegen. Laut Ausgangsbericht habe CISA die tatsächliche Ausnutzung dennoch bestätigt und zivile US-Bundesbehörden zur Behebung bis zum 6. November 2026 verpflichtet.
Die Korrektur in WordPress 7.1.4 soll temporäre Installationspfade schwerer vorhersehbar machen und den direkten Zugriff zusätzlich absichern. Außerdem soll sie verhindern, dass Konfigurationsdaten aus der vorläufigen Installation unsicher übernommen werden. Als Entdecker nennt der Bericht den Sicherheitsforscher Umut Bayram. Der zugehörige CVE-Eintrag sei am 31. Oktober erschienen.
Für Betreiber betroffener Websites steht die Installation der Sicherheitskorrektur im Vordergrund. Dabei sollte kontrolliert werden, ob automatische Updates tatsächlich erfolgreich abgeschlossen wurden. Auch ältere Testumgebungen, Staging-Installationen und nicht mehr aktiv gepflegte Websites können relevant sein, sofern sie weiterhin über das Internet erreichbar sind.
Eine Web Application Firewall kann automatisierte Zugriffsversuche erschweren, ersetzt die Fehlerbehebung aber nicht. Entscheidend ist zudem, ob ihr Schutz auch direkte Anfragen an vorübergehend abgelegte PHP-Dateien erfasst. Zugriffsprotokolle können Hinweise liefern, insbesondere wenn Anfragen an temporäre Installationspfade zeitlich mit einem Core-Upgrade zusammenfallen.
Ein abgeschlossenes Update schließt eine vorherige Kompromittierung nicht aus. Unerwartete PHP-Dateien, Veränderungen an der WordPress-Konfiguration, unbekannte Administratorkonten oder nicht autorisierte Plugins können Anlass für eine nähere Untersuchung sein. Dasselbe gilt für ungewöhnliche Prozesse des Webservers und unerklärliche ausgehende Verbindungen. Solche Auffälligkeiten sind allerdings für sich genommen noch kein Beweis für die Ausnutzung dieser konkreten Schwachstelle.
Bei einem begründeten Verdacht sollten betroffene Systeme möglichst isoliert und relevante Protokolle sowie verdächtige Dateien vor der Bereinigung gesichert werden. Abhängig vom Untersuchungsergebnis kann auch der Austausch von Zugangsdaten und anderen Geheimnissen erforderlich sein, auf die der Webserver Zugriff hatte.
Wie weit die Folgen eines erfolgreichen Angriffs reichen, hängt von den Berechtigungen des betroffenen Prozesses ab. Möglich sind die Manipulation der Website, das Einschleusen schädlicher Dateien und der Diebstahl von Daten. Der Fall verdeutlicht damit auch ein grundsätzliches Risiko: Selbst ein Update-Prozess kann zur Angriffsfläche werden, wenn temporäre Installationsdateien unzureichend geschützt sind.
Wer eine eigene Website oder einen Blog erstellen möchte, kommt an WordPress kaum vorbei. Passende Bücher zum weltweit beliebtesten Content-Management-System WordPress findest du bei Amazon*.
Sladjan ist Webdesigner, Frontend-Entwickler und WordPress-Experte mit dem Schwerpunkt Full Site Editing (FSE). Als Webenthusiast arbeitet er seit 2006 mit HTML und CSS und ab 2016 mit WordPress. Seit 2018 arbeitet er mit WooCommerce und erstellt kleine, minimalistische und responsive Websites sowie kleinere Online-Shops. Seit 2019 ist er Zertifizierter SEM-Manager & Webanalyst (Webmasters Akademie) und seit 2024 Geprüfter Webdesigner (OfG).
![Einstieg in CSS: Wir bauen eine moderne Website für einen Rechtsanwalt [Teil 2] 🚀](https://www.webnumerus.de/wp-content/uploads/2026/05/Aufbau_CSS-Selektor-300x225.jpg "Einstieg in CSS: Wir bauen eine moderne Website für einen Rechtsanwalt [Teil 2] 🚀")
Schreiben Sie einen Kommentar