Das WordPress-Team hat am 28. Oktober WordPress 7.1.4 veröffentlicht und empfiehlt, jede Website sofort zu aktualisieren. Die Version schließt 22 Sicherheitslücken. Seiten mit eingeschalteten automatischen Aktualisierungen bekommen das Update ohne dein Zutun, alle anderen aktualisierst du von Hand.
Welche Sicherheitslücken schließt WordPress 7.1.4?
Den größten Teil machen Fehler aus, über die Angreifer Schadcode in Inhalte einschleusen können: persistentes Cross-Site-Scripting (XSS). Der Code steckt dann etwa in einem Beitrag und läuft im Browser aller, die den Beitrag öffnen. Betroffen sind unter anderem der Kategorien-, der Bild- und der Playlist-Block, die Blöcke zum Blättern durch Kommentare, der Customizer und die Interactivity API, die Schnittstelle für interaktive Blöcke.
Für die meisten dieser Lücken braucht ein Angreifer ein Benutzerkonto mit mindestens der Rolle Mitarbeiter, für einzelne die Rolle Autor oder Redakteur. Bei einigen Fehlern muss außerdem ein Redakteur oder Administrator den präparierten Inhalt im Backend aufrufen, wie das Sicherheitsunternehmen Patchstack in seiner Auswertung beschreibt.
Ohne Anmeldung ausnutzbar sind zwei Fehler. Besucher konnten unveröffentlichte Änderungen aus dem Customizer sehen. Schwerer wiegt eine Schwachstelle im Aktualisierungsvorgang: WordPress entpackt das Update-Paket in den Ordner wp-content/upgrade/, und für die wenigen Sekunden eines Updates liegt dort eine komplette Installation unter einer erratbaren Adresse. Im ungünstigen Fall lässt sich darüber Code auf dem Server ausführen. Patchstack stuft den Angriff als schwierig ein, weil der Abruf genau in diesem Zeitfenster gelingen muss.
Welches Update brauchst du für ältere Versionen?
Das Team hat die Korrekturen für alle älteren Versionsreihen bis einschließlich 4.7 nachgeliefert, obwohl offiziell nur die neueste Version gepflegt wird. Die Versionsseite in der WordPress-Dokumentation listet auf, wie stark jede Reihe betroffen ist: Alle 22 Lücken stecken auch in 7.0 und 6.9, behoben in 7.0.8 und 6.9.11. Für 6.8 mit 20 Lücken erschien 6.8.12, für 6.5 und 6.4 mit je 17 Lücken erschienen die Versionen 6.5.14 und 6.4.14. In Version 4.7 stecken noch zwei der Lücken, behoben in 4.7.39. Version 4.6 und älter bekommt keine Sicherheitsupdates mehr.
Welches Update für welche Version?
WordPress hat die Korrekturen am 28. Oktober 2026 für alle Reihen ab 4.7 veröffentlicht.
Deine VersionsreiheUpdate auf
- WordPress 7.17.1.4
- WordPress 7.07.0.8
- WordPress 6.96.9.11
- WordPress 6.86.8.12
- WordPress 4.74.7.39
Version 4.6 und älter bekommt keine Sicherheitsupdates mehr
Quellen: WordPress.org News, WordPress.org Documentation
Die Korrekturen stecken auch in der dritten Beta von WordPress 7.2, das am 8. Dezember erscheinen soll.
Was das für dich bedeutet
Unter Dashboard > Aktualisierungen siehst du, welche Version deine Seite gerade nutzt. Steht dort noch keine der genannten Korrekturversionen, aktualisierst du am besten gleich von Hand. Kümmert sich dein Hoster um die WordPress-Updates, fragst du dort nach, ob 7.1.4 schon eingespielt ist. Für Seiten mit Version 4.6 oder älter hilft nur der Umstieg auf eine aktuelle Reihe.
Weil die meisten Lücken ein Konto voraussetzen, lohnt sich ein Blick unter Benutzer > Alle Benutzer. Konten von Gastautoren, ehemaligen Teammitgliedern oder Kunden mit den Rollen Mitarbeiter, Autor oder Redakteur, die niemand mehr braucht, löschst du am besten oder stufst sie auf Abonnent herab.
Den Update-Ordner sperrst du am besten direkt auf dem Webserver. Patchstack rät, den Zugriff auf wp-content/upgrade/ dort zu verbieten; eine Firewall auf PHP-Ebene, wie sie viele Sicherheits-Plug-ins mitbringen, kann diesen Angriff nicht abfangen. Ruf zum Test die Adresse deiner Seite mit dem Zusatz /wp-content/upgrade/ im Browser auf. Erscheint eine Dateiliste, bittest du deinen Hoster, das Verzeichnis abzuriegeln. Grundlagen zum Absichern deiner Seite erklärt die Lektion zu Sicherheit und Backups im Kurs „WordPress für Anfänger“.
WordPress hat Version 7.1.4 am 28. Oktober 2026 veröffentlicht.
Quellen
