WordPress 7.0.4: Wie dringend ist das Update? Sofort

Wie WordPress 7.0.4 eine Sicherheitslücke beim Datei-Upload behebt

Markus Seyfferth

Autor Dr. Web

12. August 2026

2 Min. Lesezeit

WordPress 7.0.4 ist ein reines Sicherheitsrelease und schließt eine einzige, dafür heikle Lücke. Ein Konto mit Autorenrechten genügt, um über einen manipulierten Datei-Upload fremden Code auf dem Server auszuführen, allerdings nur bei Installationen mit Imagick und Ghostscript. Der Kreis der Betroffenen bleibt damit kleiner als bei einem Zwangsupdate. Die eigentliche Aufgabe ist die Prüfung der eigenen Serverkonfiguration.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Veröffentlicht wurde die Version am 12. August, mit einem einzigen Eintrag im Changelog.^[1] Geändert hat sich nur eine Datei, class-wp-image-editor-imagick.php, also genau die Bildverarbeitung über die Imagick-Erweiterung.^[2] Gemeldet hat die Schwachstelle das Team von pwn.ai, das die Angriffsklasse aus eigener Forschung kennt.

Das Wichtigste in Kürze

WordPress 7.0.4 vom 12. August ist ein reines Sicherheitsrelease und behebt eine Author-Level-Schwachstelle zur Remote Code Execution (CVE-2026-65640)
Der Angriff läuft über einen manipulierten Datei-Upload, greift aber nur auf Servern, die Imagick und Ghostscript gemeinsam einsetzen
Nötig ist ein Konto mit mindestens Autorenrolle, weshalb Mehrautoren-Blogs und Mitglieder-Sites stärker exponiert sind als geschlossene Firmenseiten
Die Korrektur reicht per Backport bis WordPress 4.7 zurück, offiziell gepflegt wird aber nur die jeweils aktuelle Version

Wie wird aus einem Bild-Upload eine Codeausführung?

Landschaftsbild im weißen Rahmen, Aufkleber „Nur ein Bild“, brennende Lunte unten — Imagick leitet PostScript-, EPS- und PDF-Dateien an Ghostscript weiter, wo sich als Bilder getarnte Dateien unsichtbar einschleusen können

Imagick verarbeitet Uploads nicht immer selbst, sondern reicht Formate wie PostScript, EPS und PDF an das Programm Ghostscript weiter. Eine als Bild getarnte Datei schleust auf diesem Weg Befehle ein, die Ghostscript dann ausführt.^[3]

Der Kern liegt in dieser Weiterreichung. WordPress selbst schränkt die Ghostscript-Aufrufe nicht über eine eigene Richtliniendatei ein, weshalb ein einzelner ungeprüfter Upload reicht. Genau diese Klasse hat pwn.ai in mehreren Zero-Days seziert, zuletzt bei einer Umgehung sämtlicher Schutzrichtlinien.^[4]

Neu ist das Muster nicht. Schon 2016 führte „ImageTragick“ verwundbaren Servern vor, wie aus einer präparierten Bilddatei eine Codeausführung wird. Auch 2026 hat die ImageMagick-Familie bereits mehrere solcher Lücken gesehen. In der 7.0er-Reihe folgt zudem ein Sicherheitsfix auf den nächsten, erst das Zwangsupdate auf 7.0.2, dann das Sicherheitspaket 7.0.3 mit zwölf geschlossenen Lücken.

Wen trifft die Lücke wirklich?

Verwundbar sind nur Installationen, die zwei Zutaten kombinieren: die Imagick-Erweiterung als Bildbibliothek und ein installiertes Ghostscript. Viele Shared-Hosting-Pakete setzen stattdessen auf die GD-Bibliothek oder verzichten auf Ghostscript, und dort läuft der Angriff ins Leere.

Die zweite Hürde ist die Autorenrolle. Angreifer brauchen ein Konto, das Medien hochladen darf, was reine Ein-Redakteur-Seiten kaum trifft. Mitglieder-Communitys, Mehrautoren-Redaktionen und Shops mit Kundenkonten vergeben solche Rechte dagegen breit, oft ohne strenge Kontrolle neuer Uploads. Welche Baustelle zuerst drankommt, ordnet unser Risiko-Score für WordPress-Lücken ein.

1 Fix

Ein reines Sicherheitsrelease mit einem einzigen Eintrag im Changelog: der RCE-Lücke CVE-2026-65640

Author+

Nötig ist ein Konto mit mindestens Autorenrolle, ohne Upload-Recht bleibt der Angriff außen vor

bis 4.7

So weit reichen die Backports zurück, offiziell gepflegt wird nur die jeweils neueste Version

Drei Bedingungen müssen zusammenkommen

Imagick statt GD

Die Site verarbeitet Bilder über die Imagick-Erweiterung, nicht über die verbreitete GD-Bibliothek.

Ghostscript installiert

Imagick reicht PostScript-, EPS- und PDF-Inhalte an das Programm Ghostscript weiter.

Upload durch einen Autor

Ein Konto mit Autorenrecht lädt eine als Bild getarnte Datei hoch, der eingeschleuste Befehl läuft.

Was sollten Betreiber im DACH-Raum jetzt tun?

Zuerst die Version prüfen und dann auf 7.0.4 aktualisieren. Für ältere 7.0er- oder 6.x-Installationen steht der Fix als Rückportierung bis hinunter zu 4.7 bereit, sofern die automatischen Updates für den jeweiligen Zweig aktiv sind.

Danach lohnt der Blick auf die Bildbibliothek. Ob eine Installation Imagick und Ghostscript nutzt, zeigt der Systembericht unter „Werkzeuge“ und die Serverauskunft des Hosters. Managed-Hosting-Kunden sind meist schon versorgt, weil viele Anbieter aus unserem WordPress-Hosting-Vergleich Core-Sicherheitsreleases selbst einspielen. Auf eigenen Servern sperrt zusätzlich eine restriktive policy.xml die Ghostscript-Aufrufe für PostScript und PDF.

Bleibt die Rechtsseite. Ein ausgenutzter Webauftritt kann unter dem NIS2-Umsetzungsgesetz als meldepflichtiger Vorfall gelten, bei Datenabfluss greift zusätzlich die 72-Stunden-Frist aus Artikel 33 DSGVO. Die Grundlagen der Kontenhygiene, von der Rollenvergabe bis zum Upload, zeigt unser Überblick zu den zehn Admin-Essentials gegen typische Pannen. Eine aktive Ausnutzung der Lücke ist bislang nicht belegt.