Die WordPress-Entwickler haben Version 7.1.4 veröffentlicht. Das Update enthält ausschließlich Sicherheitskorrekturen und sollte auf allen Installationen zeitnah eingespielt werden. Wer Hintergrund-Updates aktiviert hat, bekommt die Aktualisierung in der Regel automatisch.
Remote Code Execution im Update-Fenster
Die gravierendste Korrektur betrifft den Upgrade-Prozess selbst. Während des laufenden Update-Fensters war es theoretisch möglich, Schadcode aus der Ferne einzuschleusen und auszuführen. Voraussetzung ist ein Angreifer, der den Vorgang in genau diesem Zeitraum beeinflussen kann.
Zusätzlich wurden mehrere Stored-XSS-Lücken geschlossen, die sich quer durch das System zogen. Betroffen waren unter anderem speziell präparierte Block-Markups, Löschanfragen für personenbezogene Daten, manipulierte Logins sowie Playlist-, Bild- und Kategorien-Blöcke.
Auch die Interactivity API war betroffen
In der Interactivity API stopften die Entwickler neben mehreren XSS-Schwachstellen ein Problem mit Stored Denial of Service. Solche Fehler sind für Redaktionen und Verwaltungsseiten besonders relevant, weil bereits ein einzelner präparierter Beitrag die Ausgabe der Seite stören kann.
Aktualisieren und Ausblick auf 7.2
Das Update lässt sich im Dashboard unter Aktualisierungen anstoßen oder direkt von WordPress.org laden. 7.1.4 ist ein Short-Cycle-Release; die nächste Hauptversion 7.2 ist für den 8. Dezember 2026 geplant. Bis dahin sollte keine Installation auf einem älteren Stand bleiben.
Quellen
- Caschys Blog: WordPress: Sicherheitsupdate 7.1.4 schließt mehrere Schwachstellen (28.10.2026)
- WordPress.org: Release-Meldungen (28.10.2026)
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet