Dieser Beitrag wurde mit KI erstellt.
Am 28.10.2026 ist WordPress 7.1.4 erschienen, ein reines Sicherheitsupdate. Es schließt laut Patchstack 22 Schwachstellen aus 17 Sicherheitshinweisen, darunter eine Lücke im Update-Vorgang selbst. Prüfe deshalb jetzt, ob deine WordPress-Website auf 7.1.4 oder der passenden Version eines älteren Zweigs läuft.
Was passiert ist
Die schwerste Lücke steckt im Update-Prozess von WordPress: Eine Race Condition kann während eines Core-Updates dazu führen, dass fremder Code auf dem Server läuft. Ein Konto braucht der Angreifer dafür nicht, er muss aber ein Zeitfenster von wenigen Sekunden treffen, und das Verzeichnis wp-content/upgrade/ muss aus dem Internet erreichbar sein. Patchstack hält einen Angriff deshalb für schwer durchführbar.
Die übrigen Fehler sind überwiegend Stored-XSS-Lücken, also Schadcode, der in Inhalten gespeichert wird und im Browser anderer Nutzer ausgeführt wird. Betroffen sind unter anderem die Interactivity API, einzelne Blöcke, der Customizer und die Seite zum Löschen personenbezogener Daten. Fast alle setzen ein Benutzerkonto voraus, meist mit der Rolle „Mitarbeiter“ (Contributor) oder höher. Laut SecurityOnline verhindert eine weitere Korrektur, dass unveröffentlichte Customizer-Änderungen bei Besuchern ohne Anmeldung landen. Außerdem tauscht das Update mitgelieferte Stammzertifikate aus, nachdem Zertifikate von eMudhra widerrufen wurden.
Wer betroffen ist
- Alle WordPress-Versionen vor 7.1.4: Die Korrekturen gibt es auch für ältere Zweige bis zurück zu WordPress 4.7. Ältere Installationen bekommen keine Korrektur mehr.
- Websites mit mehreren Redakteuren: Wer Konten an Mitarbeitende, Agenturen oder Gastautoren vergeben hat, ist von den XSS-Lücken stärker betroffen als eine Website mit einem einzigen Administrator.
- Websites ohne automatische Updates: Wo Hintergrund-Updates abgeschaltet sind oder ein Staging-Ablauf sie zurückhält, kommt 7.1.4 nicht von selbst.
- Noch kein Angriff bekannt: Ausgenutzt werden die Lücken nach bisherigem Stand nicht.
Was du jetzt tun solltest
- Version prüfen: Im WordPress-Dashboard unter „Aktualisierungen“ siehst du die installierte Version. Steht dort nicht 7.1.4 oder die aktuelle Version deines Zweigs, aktualisiere jetzt.
- Vorher sichern: Erstelle vor dem Update eine Sicherung von Dateien und Datenbank, damit du bei Problemen mit Plugins zurück kannst.
- Upgrade-Verzeichnis sperren: Patchstack empfiehlt, den Zugriff auf
wp-content/upgrade/auf dem Webserver zu sperren und keine Verzeichnisauflistung zuzulassen. Eine Regel in der .htaccess reicht dafür. - Benutzerkonten aufräumen: Entferne Konten, die niemand mehr braucht, und vergib die Rollen „Mitarbeiter“ und „Autor“ nur an Personen, die wirklich Inhalte anlegen.
- Plugins und Themes mitziehen: Ein aktueller Core hilft wenig, wenn ein veraltetes Plugin offen bleibt. Aktualisiere Elementor, Themes und alle Plugins im selben Durchgang.
So helfen wir dir
Mit dem WordPress-Updateservice zu unserem Webhosting überwachen wir deine Website und spielen Updates von WordPress, Themes und Plugins automatisch ein. Bauen wir deine Website bei der Website-Erstellung, buchst du den Updateservice gleich mit. Betreibst du viele WordPress-Installationen auf einem eigenen Server, hilft dir das WP Toolkit in Plesk, alle an einer Stelle zu aktualisieren. Denk auch an den Unterbau: Das PHP-Sicherheitsupdate vom Oktober betrifft jeden Server, auf dem WordPress läuft.
Du willst wissen, ob deine Website auf dem aktuellen Stand ist? Schreib uns an support@baebeca.de oder ruf an unter 02261-81616-0 – wir prüfen deine Installation mit dir.