WordPress 7.1.4: Angriffe auf Update-Lücke laufen

WordPress 7.1.4 stopft Schwachstelle, die bereits angegriffen wird

WordPress hat am Mittwoch die Version 7.1.4 veröffentlicht. Das Update schließt nach Angaben der Entwickler knapp zwei Dutzend Sicherheitslücken. Korrigierte Pakete gibt es auch für ältere Zweige, von 4.7.39 bis 7.0.8. IT-Verantwortliche sollten prüfen, ob ihre Instanzen tatsächlich schon auf dem aktuellen Stand sind.

Schadcode über einen vorhersehbaren Pfad

Die bereits attackierte Schwachstelle steckt im Kern: Beim Einspielen eines vollständigen Core-Updates entpackt WordPress das Paket in ein vorhersehbares Verzeichnis unterhalb von wp-content/upgrade. Dieser Pfad ist aus dem Internet erreichbar.

Wer das Zeitfenster zwischen Entpacken und Aufräumen trifft, kann dort eigenen PHP-Code ablegen und ausführen. Nicht authentifizierte Angreifer genügen dafür; das Risiko wird mit CVSS 8.1 als hoch bewertet. Eine CVE-Nummer lag zum Meldungszeitpunkt nicht vor.

Mehr als 18.500 Sonden in 21 Stunden

Der auf WordPress spezialisierte Sicherheitsdienstleister Wordfence hat nach eigenen Angaben kurz nach dem Patch eine Firewall-Regel aktiviert. In den folgenden 21 Stunden registrierte das Unternehmen mehr als 18.500 Anfragen, die gezielt Installationspfade wie setup-config.php abklopften. Zwei der aktivsten Angreifer pollten einzelne WordPress-Sites über rund 14,5 Stunden hinweg.

In Laborumgebungen war das Staging-Verzeichnis nur wenige Sekunden erreichbar. Praktisch relevant wird die Lücke vor allem, weil WordPress Core-Updates standardmäßig automatisch einspielt.

Woran Admins einen Erfolg erkennen

Nach dem Update lohnt ein Blick in die Logs auf Zugriffe rund um Core-Updates. Verdächtig sind unerwartete PHP-Dateien unter wp-content/upgrade, unbekannte Administratorkonten sowie Plug-ins, die niemand installiert hat.

Ende September hatte WordPress eine weitere Lücke geschlossen, die nur Stunden nach dem Patch angegriffen wurde. Automatische Updates allein reichen als Schutz also nicht aus.

Quellen

heise security: WordPress: Exploit-Versuche beobachtet, Update stopft Schadcode-Lücke (30.10.2026)

Wordfence: WordPress 7.1.4 Security Release (Oktober 2026)

WordPress.org: WordPress 7.1.4 (Oktober 2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.