Die US-Behörde CISA führt die Sicherheitslücke im Update-Ablauf von WordPress seit dem 3. November in ihrem Katalog ausgenutzter Schwachstellen. Die Firewall von Wordfence wehrte bis zum 5. November mehr als 240.000 Anfragen ab, die auf diese Lücke zielten, am stärksten Tag über 74.000. Dass ein Angriff gelang, belegt bisher niemand, das Zeitfenster öffnet sich aber bei jedem Core-Update neu.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 6 Abschnitte
Wordfence hat am 5. November die Angriffszahlen zu CVE-2026-119977 veröffentlicht, der Sicherheitslücke im WordPress-Kern, die Version 7.1.4 am 28. Oktober geschlossen hat.[1] Die erste Zählung, über die wir am 30. Oktober berichteten, nannte 18.500 Anfragen in 21 Stunden. Betroffen sind alle Versionen von 4.7 bis 7.1.3, Wordfence vergibt 8,1 von 10 Punkten (CVSS 3.1, hoch).[1][3]
Das Wichtigste in Kürze
- Die CISA hat CVE-2026-119977 am 3. November in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen, US-Bundesbehörden hatten bis zum 6. November Zeit.[2]
- Wordfence zählt seit dem 28. Oktober über 240.000 abgewehrte Anfragen, die Hochphase lag zwischen dem 29. Oktober und dem 1. November.[1]
- Die Anfragen zielen auf den Moment, in dem eine Website ein Core-Update einspielt. Erfolgreiche Angriffe nennt Wordfence nicht.
- Version 7.1.4 und die Nachzügler für ältere Reihen bis 4.7 schließen die Lücke, Websites mit automatischen Updates sollten schon aktuell sein.[1][4]
Was bedeutet der Eintrag im CISA-Katalog?
Die CISA führt in ihrem Katalog bekannter ausgenutzter Schwachstellen Einträge, bei denen sie eine tatsächliche Ausnutzung sieht. Für CVE-2026-119977 nennt der Eintrag den Typ Zeitfenster-Lücke (Time-of-check Time-of-use, CWE-367) und verlangt von US-Bundesbehörden Gegenmaßnahmen nach Herstellerangaben bis zum 6. November. Zusätzlich verlangt der Eintrag eine forensische Prüfung (Forensic Triage): Die Behörden sollen auch untersuchen, ob bereits jemand eingedrungen ist.[2]
Für Betreiber in Deutschland gilt diese Frist nicht. Als Quelle nennt der Eintrag unter anderem die Wordfence-Datenbank, eine unabhängige Messung ist er also nicht. Ob Angreifer schon erfolgreich eingedrungen sind, haben weder die CISA noch Wordfence veröffentlicht.[1][2]
Warum ist der Moment des Updates das Einfallstor?
WordPress entpackt ein vollständiges Update-Paket zuerst in einen Arbeitsordner unter wp-content/upgrade. Dieser Ordner ist auf vielen Servern über das Web erreichbar. Sein Name ließ sich bis Version 7.1.3 vorhersagen. Erreicht ein Angreifer das darin liegende Installationsprogramm im richtigen Augenblick, kann er laut Wordfence einen Administrator anlegen und eigenen PHP-Code hochladen.[1] Fachleute nennen das eine Race Condition: Prüfung und Nutzung liegen zeitlich auseinander. Dazwischen kommt jemand anderes zum Zug.
Weil der Ordner nur Sekunden besteht, hält Wordfence die meisten Anfragen für automatisierte Dauerabfragen, die auf einen laufenden Update-Vorgang hoffen. Das Update auf 7.1.4 selbst läuft zudem noch durch den alten Ablauf, ein Schutz greift erst danach.[1]
Vom Update zum Katalogeintrag
Auf welchen Reihen die Websites liefen
Orange: ältere Reihen, auf denen die Lücke nur mit dem Update auf die Nachzügler-Version (etwa 7.0.8 oder 6.9.11) schließt, vor 4.7 gibt es keine Korrektur. Die Reihe 7.1 enthält neben dem gepatchten 7.1.4 auch die Stände 7.1.0 bis 7.1.3. Status: offengelegt, Korrektur verfügbar, Ausnutzung laut Wordfence und CISA beobachtet.
Wie viele Websites laufen noch auf älteren Reihen?
Laut wordpress.org liefen am 15. November rund 66 Prozent der Websites auf der Reihe 7.1. Sie enthält neben dem gepatchten 7.1.4 auch die anfälligen Stände 7.1.0 bis 7.1.3, wie viele davon noch nicht aktualisiert sind, zeigt die Statistik nicht.[5] Die Reihen 7.0 bis 4.7 zusammen kommen auf rund 33 Prozent, für sie braucht es die jeweilige Nachzügler-Version. Auf Reihen vor 4.7, für die es keine Korrektur gibt, laufen rund 0,9 Prozent. Das sind Näherungen, Installationen sind nicht betroffene Websites.
Besonders genau sollten deutschsprachige Betreiber hinsehen: Übersetzte Installationen erhalten Core-Updates als vollständiges Paket, wie unsere erste Meldung beschreibt. Das passt zu einem Jahr mit ungewöhnlich vielen Hinweisen: Das Sicherheitsteam von WordPress zählte über 3.000 Meldungen.
Ausgerechnet das Update ist hier der riskante Moment. Überspringen lässt es sich nicht.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie WordPress 7.1.4 oder die Nachzügler-Version Ihrer Reihe ein (etwa 7.0.8 oder 6.9.11) und prüfen Sie im Dashboard, ob die automatischen Hintergrund-Updates laufen.[1]
- Vor dem Update absichern: Wordfence empfiehlt, den Zugriff auf PHP-Dateien im Ordner wp-content/upgrade auf Ebene des Webservers zu sperren, bevor Sie das Update starten.[1]
- Protokolle prüfen: Suchen Sie im Zugriffsprotokoll seit dem 28. Oktober nach Anfragen an PHP-Dateien in diesem Ordner und kontrollieren Sie ihn auf übrig gebliebene Dateien. Ein sauberes Protokoll ist laut Wordfence kein Beweis, dass nichts passiert ist.[1]
- Konten und Plugins kontrollieren: Entfernen Sie unbekannte Administratorkonten und Plugins und suchen Sie nach Hintertüren.
- Meldepflicht klären: Gibt es Hinweise auf einen Einbruch mit Zugriff auf personenbezogene Daten, prüfen Sie die Meldung binnen 72 Stunden (Art. 33 DSGVO).[6]
Agenturen mit vielen Kundenwebsites beginnen mit den Seiten, die noch auf älteren Reihen laufen. Die kostenlose Wordfence-Regel kommt erst am 27. November und ersetzt das Update nicht.[1] Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster mit eigener Firewall nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücke im WordPress-Kern
Welche WordPress-Version schließt die Sicherheitslücke im Update-Ablauf?
WordPress 7.1.4 schließt sie seit dem 28. Oktober 2026. Für ältere Reihen bis 4.7 gibt es Nachzügler-Versionen, etwa 7.0.8 oder 6.9.11. Für Reihen vor 4.7 gibt es keine Korrektur.
Wird die Sicherheitslücke im WordPress-Kern wirklich ausgenutzt?
Ja, laut Wordfence und CISA. Wordfence wehrte bis zum 5. November über 240.000 Anfragen ab, die CISA führt die Lücke seit dem 3. November im Katalog ausgenutzter Schwachstellen. Erfolgreiche Angriffe sind nicht belegt.
Ist meine Website gehackt, wenn Wordfence so viele Angriffe zählt?
Nicht zwingend. Die Zahl zählt abgewehrte Anfragen, meist automatisiert und ohne Erfolg. Ein Angriff kann nur gelingen, solange ein Core-Update läuft. Prüfen Sie dennoch Protokolle, Administratorkonten und den Ordner wp-content/upgrade.
Muss ich nach dem Update auf 7.1.4 noch etwas tun?
Ja, kontrollieren Sie Protokolle und Konten. Das Update auf 7.1.4 selbst läuft noch durch den alten Ablauf, künftige Updates sind laut Wordfence nicht mehr betroffen. Die Sperre für PHP-Dateien im Update-Ordner ist eine zusätzliche Vorsicht vor dem Einspielen.
Quellen
6 Quellen anzeigenQuellen ausblenden
- WordfenceAttackers Actively Probing for Upgrade-Window RCE Vulnerability in WordPress Core, veröffentlicht am 5. November 2026, abgerufen am 15. November 2026
- CISAKnown Exploited Vulnerabilities Catalog, CVE-2026-119977, aufgenommen am 3. November 2026, abgerufen am 15. November 2026
- NVDCVE-2026-119977 mit Bewertung von Wordfence, veröffentlicht am 31. Oktober 2026, abgerufen am 15. November 2026
- WordPress.orgWordPress 7.1.4, Sicherheitsrelease vom 28. Oktober 2026, abgerufen am 15. November 2026
- wordpress.orgStatistik der WordPress-Versionen nach Reihen, abgerufen am 15. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- WordPress-Kern: Über 18.500 Angriffsversuche auf die Sicherheitslücke im Update
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
- Kritische Brotli-Sicherheitslücke: WordPress-Websites über Pingbacks angreifbar
- WordPress-Sicherheitsteam: Über 3.000 Meldungen in diesem Jahr, mehr als in zwölf Jahren zuvor
- Schwere Sicherheitslücke bei Widget Options in der Anzeigelogik
- WordPress Wartung: Sichern Sie Ihre Website mit dieser 66-Punkte-Checkliste
