WordPress 7.1.1 ist da und schließt elf gemeldete Sicherheitslücken auf einmal, zwei davon fand das KI-Labor Anthropic. Für Betreiber heißt das: sofort aktualisieren, nicht auf den nächsten Wartungstermin warten.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
WordPress 7.1.1 kommt als reines Sicherheits- und Wartungsrelease. Das Kernteam stuft das Update als dringend ein. Hinter der kleinen Versionsnummer steckt eine ungewöhnlich breite Palette an Angriffswegen, vom unangemeldeten Skript im Kommentarfeld bis zum Pfad-Ausbruch in der REST-Schnittstelle.
Das Wichtigste in Kürze
- Elf Sicherheitslücken geschlossen, dazu rund drei Dutzend Fehlerbehebungen in Core und Block-Editor.
- Zwei der elf Lücken meldete Anthropic, der Hersteller der Claude-Modelle.
- Die gefährlichste Lücke wirkt ohne Login, nämlich gespeichertes Cross-Site-Scripting über die Absatzformatierung in Kommentaren.
- Seiten mit aktiven Auto-Updates erhalten 7.1.1 automatisch, fest gepinnte Agentur-Setups oft nicht.
Welche Lücken schließt WordPress 7.1.1?
Fünf Rechtefehler bilden die größte Gruppe der elf Fixes, vom Multisite-Problem bis zur präparierten URL, die ein Theme ungefragt installiert. Drei Cross-Site-Scripting-Lücken folgen, darunter die einzige ohne Benutzerkonto: Ein unangemeldeter Besucher schmuggelt über die Absatzformatierung eines Kommentars Schadcode ein, der beim Freischalten aktiv wird.
Zwei Informationslecks und ein Path-Traversal im REST-Controller vervollständigen die Reihe. Gespeichertes XSS kennt WordPress aus früheren Releases, etwa aus dem Security-Update 6.8.3.[1]
Warum meldet ein KI-Labor WordPress-Lücken?
Anthropic steht hinter zwei der elf Einträge, der Hersteller der Claude-Modelle. Gemeldet wurden ein Überschreiben beliebiger Beiträge ab Contributor-Rechten und ein authentifizierter Pfad-Ausbruch im REST-Controller für Templates.[1] Beide Klassen, unautorisierte Datenmanipulation und Path-Traversal, lassen sich mit modernen Analysewerkzeugen systematisch aufspüren.
Automatisierte Scanner geben beim Wettlauf um solche Lücken das Tempo vor, wie zuletzt die Burst-Statistics-Lücke mit 200.000 gekaperten Seiten in 15 Tagen. Schon WordPress 7.0.3 schloss zwölf Lücken auf einmal, kurz darauf folgte 7.0.4 gegen eine RCE-Kette. Die Chronik reicht bis zum Zwangsupdate auf 7.0.2 zurück, und der Takt bleibt eng.
Ein Sicherheitsrelease ist kein Wartungstermin für den ruhigen Freitagnachmittag. Zwischen Veröffentlichung und erstem Massenscan liegen bei WordPress oft nur Stunden.
Michael Dobler, Herausgeber Dr. Web
Was sollten WordPress-Betreiber jetzt tun?
Für den Mittelstand zählt dieser Patch besonders, denn viele Mittelständler betreiben ihre Website mit WordPress. Ein ungepatchtes XSS oder Informationsleck auf einer Seite mit Kundendaten wird im Zweifel zum meldepflichtigen Datenschutzvorfall nach DSGVO, nicht bloß zum technischen Ärgernis. Konkret heißt das, die Core-Version auf mindestens 7.1.1 zu heben und die automatischen Hintergrund-Updates einzuschalten. Wie gut die Anbieter solche Updates automatisch einspielen, stellt der WordPress-Hosting-Vergleich gegenüber.
Quelle
[1] WordPress.org: „WordPress 7.1.1 Maintenance and Security Release“
Mehr Newshunger?
- WordPress 7.0.4: Wie dringend ist das Update? Sofort
- WordPress 7.0.3 riegelt den Login-Screen wieder ab
- Warum Sie WordPress sofort auf 7.0.2 aktualisieren sollten
- WordPress 6.8.3: Security-Update schließt Datenleck und XSS-Schwachstelle
- Kirki-Sicherheitslücke bedroht 150.000 WordPress-Sites
- Burst-Statistics-Lücke: Findet KI jetzt jede Plugin-Lücke?
2 Kommentare
Ist bei euch auch der Login Dialog von WordPress 7.1.1 fehlerhaft und zeigt irgendwelche Tooltip Daten ganz gross mittendrin?
Hallo carola,
danke für Ihren Hinweis. Einen allgemein bekannten Fehler dieser Art haben wir für WordPress 7.1.1 nicht gefunden. Eine naheliegende Spur führt aber zu einer Neuerung aus Version 7.1: Neben der Checkbox „Angemeldet bleiben“ sitzt seitdem ein kleines Info-Symbol. Ein Klick darauf öffnet eine Erklärung als Einblendung, die WordPress über das HTML-Attribut popover steuert (Make WordPress Core, 3. August 2026: https://make.wordpress.org/core/2026/08/03/introducing-name-and-informational-tool-tips-in-wordpress-7-1/).
Steht dieser Erklärtext dauerhaft und groß mitten im Dialog, kommen zwei Ursachen in Frage: Das zugehörige Stylesheet lädt nicht, etwa weil ein Cache- oder Optimierungs-Plugin noch alte Dateien ausliefert, oder ein älterer Browser kennt die Popover-Technik nicht. Für 7.1 meldete ein Nutzer im Ticket #65943 Darstellungsfehler mit einem Skriptfehler rund um die Popover-Abfrage, die Korrektur kam mit 7.1.1. Auch das Ticket #65918 zum verrutschten Info-Symbol im Login stand auf der Liste für 7.1.1.
Ein Test in einem aktuellen Browser oder im privaten Fenster und das Leeren des Plugin-Caches zeigen schnell, ob eine dieser Ursachen zutrifft.
Viele Grüße aus der Redaktion
Markus Seyfferth