Angreifer versuchen bereits, die schwerste Sicherheitslücke aus WordPress 7.1.4 auszunutzen. Wordfence zählte in den ersten 21 Stunden über 18.500 Anfragen, die auf ein kurzes Zeitfenster während eines Kern-Updates zielen. Ausgerechnet beim Update auf 7.1.4 besteht dieses Zeitfenster bei deutschsprachigen Websites noch.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenNeun Minuten nach dem Start schlug eine neue Firewall-Regel von Wordfence am Mittwochabend zum ersten Mal an. Zwei der aktivsten Quellen fragten danach kleine Gruppen von Websites rund 14,5 Stunden lang immer wieder ab, um den Moment eines Updates zu erwischen, berichtet der Sicherheitsanbieter.[1] Geschlossen hat WordPress die Lücke mit dem Sicherheitsupdate 7.1.4 vom 28. Oktober.
Das Wichtigste in Kürze
- Über 18.500 Anfragen zielten laut Wordfence binnen 21 Stunden auf die Update-Lücke im WordPress-Kern. Erfolgreiche Angriffe sind nicht bekannt.
- Die Lücke erlaubt ohne Anmeldung das Ausführen von Schadcode, aber nur in den Sekunden, in denen WordPress ein vollständiges Update-Paket entpackt (CVSS 3.1: 8,1, Wordfence).
- Abgesichert sind 7.1.4 und die Rückportierungen für ältere Zweige bis 4.7.39. Das Update auf 7.1.4 selbst entpackt aber noch der alte Code.
Wie funktioniert der Angriff?
WordPress entpackt jedes Kern-Update zuerst in einen Arbeitsordner, der auf vielen Servern über das Web erreichbar ist. Bis Version 7.1.3 ließ sich sein Name vorhersagen oder auslesen. Ein vollständiges Paket enthält auch das Installationsprogramm, mit dem sich eine neue WordPress-Website einrichten lässt. Ruft ein Angreifer diese Kopie im richtigen Moment auf, kann er laut Wordfence eigenen PHP-Code auf dem Server ausführen.[1] Gemeldet hat die Lücke der Sicherheitsforscher Umut Bayram.[2]
Im Labor bestand der Ordner meist nur Sekunden, ein einzelner Versuch hat deshalb kaum Aussicht auf Erfolg. Automatisierte Dauerabfragen verbessern die Chancen. Wordfence bewertet die Lücke nach CVSS 3.1 mit 8,1 von 10 Punkten (hoch) und stuft die Hürde für einen Angriff als hoch ein. Eine CVE-Nummer gibt es noch nicht.
Warum entsteht das Zeitfenster ausgerechnet beim Update?
Der Quelltext zeigt eine Eigenheit des Ablaufs: Das neue Paket lädt und entpackt noch die installierte Version. Erst danach übernimmt WordPress die Update-Routinen aus dem neuen Paket.[3] Die Korrektur in 7.1.4, ein Ordnername mit 16 Zufallszeichen und eine Sperre gegen das Auflisten, greift also erst beim nächsten Update. Das Update auf 7.1.4 selbst nutzt noch das alte Verfahren.
Ob dabei das Installationsprogramm mitkommt, hängt von der Sprache ab. Englischsprachige Websites, die von 7.1.3 aus aktualisieren, erhalten von wordpress.org in der Regel ein Teilpaket mit den geänderten Dateien, ohne Installationsprogramm. Übersetzte Installationen bekommen nur das vollständige Paket angeboten, auf Deutsch ebenso wie auf Französisch oder Japanisch.[4] Deutschsprachige Installationen machen laut wordpress.org gut 6 Prozent aller WordPress-Websites aus.[5]
Vom Update zu den ersten Angriffsversuchen
| Zeitpunkt (MEZ) | Schritt |
|---|---|
| 28. Okt., 18:13 | WordPress veröffentlicht 7.1.4 mit 22 Korrekturen |
| 28. Okt., 21:30 | Wordfence verteilt eine Firewall-Regel an zahlende Kunden |
| 28. Okt., 21:39 | Neue Regel schlägt erstmals an |
| 29. Okt., abends | Über 18.500 Anfragen in 21 Stunden gezählt |
| 27. Nov. | Regel erreicht die kostenlose Wordfence-Version |
Betroffen sind die Versionen 4.7 bis 7.1.3, abgesichert ab 7.1.4 und den Rückportierungen für ältere Zweige. Status: offengelegt, Korrektur verfügbar, Angriffsversuche beobachtet, erfolgreiche Angriffe nicht bekannt.
Das Tempo passt zu einem bekannten Muster. WordPress.org nannte keine Einzelheiten, doch der öffentliche Quelltext zeigte die Stelle schon am Abend der Veröffentlichung. Bei PHP2Shell zählte Wordfence binnen weniger Tage über 74.000 Angriffsversuche auf WordPress-Websites, einen bestätigten Einbruch aber nicht. Erfolgreiche Einbrüche über die Update-Lücke meldet Wordfence bisher ebenfalls nicht.
Bei dieser Lücke ist das Update zugleich Schutz und Einfallstor. Nach dem Update gehört deshalb ein Blick in die Server-Protokolle dazu.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Website-Betreiber jetzt tun?
- Version prüfen: Unter „Dashboard > Aktualisierungen“ steht, ob 7.1.4 oder das Sicherheitsupdate des eigenen Zweigs installiert ist, etwa 7.0.8 oder 6.9.11. Alle folgenden Updates entpacken dann in zufällig benannte Ordner.
- Protokolle durchsehen: Wordfence rät, im Zugriffsprotokoll nach Aufrufen von PHP-Dateien im Arbeitsordner wp-content/upgrade zu suchen, vor allem rund um den Zeitpunkt des Updates. Warnzeichen sind auch unbekannte Administratorkonten und fremde PHP-Dateien.
- Firewall einstellen: Der Angriff ruft eine PHP-Datei direkt auf, ohne WordPress zu laden. Die Wordfence-Firewall greift deshalb nur mit der Einstellung „Extended Protection“. Nutzer der kostenlosen Version erhalten die neue Regel erst am 27. November.
- Meldepflicht klären: Finden sich Spuren eines Einbruchs, kann der Angreifer auf alle Daten der Website zugegriffen haben. Dann ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nötig ist (Art. 33 DSGVO).[6]
Agenturen mit vielen Kundenwebsites prüfen am besten zuerst die übersetzten Installationen. Vor jeder Prüfung spart ein aktuelles Backup im Ernstfall Zeit, passende Werkzeuge zeigt der Vergleich der Backup-Plugins für WordPress. Welche Anbieter Kern-Updates selbst einspielen, steht im WordPress-Hosting-Vergleich.
FAQ: WordPress-Kern: Über 18.500 Angriffsversuche auf die Sicherheitslücke im Update
Ist meine WordPress-Website nach dem Update auf 7.1.4 noch angreifbar?
Über diese Lücke nicht mehr. Ab 7.1.4 entpackt WordPress Updates in Ordner mit zufälligem Namen und verhindert das Auflisten. Angreifbar war die Website nur in den Sekunden eines Updates. Ob in diesem Moment jemand zugegriffen hat, zeigen die Zugriffsprotokolle des Servers.
Warum sind deutschsprachige WordPress-Websites eher betroffen?
Übersetzte Installationen erhalten von wordpress.org nur das vollständige Update-Paket. Nur dieses enthält das Installationsprogramm, über das der Angriff läuft. Englischsprachige Websites, die von 7.1.3 aus aktualisieren, laden in der Regel ein Teilpaket ohne Installationsprogramm.
Wird die Lücke schon aktiv ausgenutzt?
Wordfence zählte in 21 Stunden über 18.500 Anfragen, die gezielt auf die Lücke abzielen, teils stundenlang auf dieselben Websites. Erfolgreiche Angriffe hat Wordfence bisher nicht gemeldet. Eine CVE-Nummer hat die Lücke noch nicht.
Quellen
6 Quellen anzeigenQuellen ausblenden
- WordfenceWordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE; Exploitation Attempts Detected After Release
- WordPress.org DocumentationVersion 7.1.4, Liste der Sicherheitskorrekturen mit Meldern
- WordPress.org: Quelltext im Subversion-Archiv, class-wp-upgrader.php in 7.1.4 verglichen mit 7.1.3, dazu class-core-upgrader.php, eigene Prüfung am 30. Oktober 2026
- WordPress.orgUpdate-Schnittstelle für Kern-Updates, Angebote für Version 7.1.3 in den Sprachen en_US, de_DE, de_DE_formal, de_CH, de_AT, fr_FR und ja, abgerufen am 30. Oktober 2026
- WordPress.orgStatistiken zu WordPress-Versionen und Sprachen, abgerufen am 30. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
- WordPress 7.1.3: das dritte Sicherheitsupdate in 19 Tagen
- WordPress 7.1.2: Notfall-Patch bis zurück zu Version 4.7
- PHP2Shell: Dritte Sicherheitslücke in PHP bekommt kein Notfall-Update
- MW WP Form mit über 200.000 Installationen: Sicherheitslücke legt gespeicherte Anfragen offen
