WordPress 7.1.1 ist da und schließt elf gemeldete Sicherheitslücken auf einmal, zwei davon fand das KI-Labor Anthropic. Für Betreiber heißt das: sofort aktualisieren, nicht auf den nächsten Wartungstermin warten.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
WordPress 7.1.1 kommt als reines Sicherheits- und Wartungsrelease. Das Kernteam stuft das Update als dringend ein. Hinter der kleinen Versionsnummer steckt eine ungewöhnlich breite Palette an Angriffswegen, vom unangemeldeten Skript im Kommentarfeld bis zum Pfad-Ausbruch in der REST-Schnittstelle.
Das Wichtigste in Kürze
- Elf Sicherheitslücken geschlossen, dazu rund drei Dutzend Fehlerbehebungen in Core und Block-Editor.
- Zwei der elf Lücken meldete Anthropic, der Hersteller der Claude-Modelle.
- Die gefährlichste Lücke wirkt ohne Login, nämlich gespeichertes Cross-Site-Scripting über die Absatzformatierung in Kommentaren.
- Seiten mit aktiven Auto-Updates erhalten 7.1.1 automatisch, fest gepinnte Agentur-Setups oft nicht.
Welche Lücken schließt WordPress 7.1.1?
Fünf Rechtefehler bilden die größte Gruppe der elf Fixes, vom Multisite-Problem bis zur präparierten URL, die ein Theme ungefragt installiert. Drei Cross-Site-Scripting-Lücken folgen, darunter die einzige ohne Benutzerkonto: Ein unangemeldeter Besucher schmuggelt über die Absatzformatierung eines Kommentars Schadcode ein, der beim Freischalten aktiv wird.
Zwei Informationslecks und ein Path-Traversal im REST-Controller vervollständigen die Reihe. Gespeichertes XSS kennt WordPress aus früheren Releases, etwa aus dem Security-Update 6.8.3.[1]
Warum meldet ein KI-Labor WordPress-Lücken?
Anthropic steht hinter zwei der elf Einträge, der Hersteller der Claude-Modelle. Gemeldet wurden ein Überschreiben beliebiger Beiträge ab Contributor-Rechten und ein authentifizierter Pfad-Ausbruch im REST-Controller für Templates.[1] Beide Klassen, unautorisierte Datenmanipulation und Path-Traversal, lassen sich mit modernen Analysewerkzeugen systematisch aufspüren.
Automatisierte Scanner geben beim Wettlauf um solche Lücken das Tempo vor, wie zuletzt die Burst-Statistics-Lücke mit 200.000 gekaperten Seiten in 15 Tagen. Schon WordPress 7.0.3 schloss zwölf Lücken auf einmal, kurz darauf folgte 7.0.4 gegen eine RCE-Kette. Die Chronik reicht bis zum Zwangsupdate auf 7.0.2 zurück, und der Takt bleibt eng.
Ein Sicherheitsrelease ist kein Wartungstermin für den ruhigen Freitagnachmittag. Zwischen Veröffentlichung und erstem Massenscan liegen bei WordPress oft nur Stunden.
— Michael Dobler, Herausgeber Dr. Web
Was sollten WordPress-Betreiber jetzt tun?
Für den Mittelstand zählt dieser Patch besonders, denn viele Mittelständler betreiben ihre Website mit WordPress. Ein ungepatchtes XSS oder Informationsleck auf einer Seite mit Kundendaten wird im Zweifel zum meldepflichtigen Datenschutzvorfall nach DSGVO, nicht bloß zum technischen Ärgernis. Konkret heißt das, die Core-Version auf mindestens 7.1.1 zu heben und die automatischen Hintergrund-Updates einzuschalten. Wie gut die Anbieter solche Updates automatisch einspielen, stellt der WordPress-Hosting-Vergleich gegenüber.
Quelle
[1] WordPress.org: „WordPress 7.1.1 Maintenance and Security Release“
Mehr Newshunger?
- WordPress 7.0.4: Wie dringend ist das Update? Sofort
- WordPress 7.0.3 riegelt den Login-Screen wieder ab
- Warum Sie WordPress sofort auf 7.0.2 aktualisieren sollten
- WordPress 6.8.3: Security-Update schließt Datenleck und XSS-Schwachstelle
- Kirki-Sicherheitslücke bedroht 150.000 WordPress-Sites
- Burst-Statistics-Lücke: Findet KI jetzt jede Plugin-Lücke?
