Das Sicherheitsunternehmen Wordfence registriert seit dem 28. Oktober gezielte Angriffsversuche auf eine schwere Sicherheitslücke, die WordPress mit Version 7.1.4 geschlossen hat. In den ersten 21 Stunden zählte Wordfence mehr als 18.500 Zugriffe auf die Installationsdatei, die während eines Updates kurz im Ordner wp-content/upgrade/ liegt. Gefährdet sind alle Seiten ab Version 4.7, die noch keine Korrekturversion ihrer Reihe installiert haben.
Wie gehen die Angreifer vor?
Die Lücke steckt im Aktualisierungsvorgang selbst. Bei einem vollständigen Update entpackt WordPress das neue Paket samt Installationsprogramm in einen Unterordner von wp-content/upgrade/, dessen Name sich bis Version 7.1.3 vorhersagen ließ. Ruft ein Angreifer die Datei setup-config.php dort im richtigen Moment auf, kann er über die frisch entpackte Kopie eigenen PHP-Code auf dem Server ausführen. Wordfence bewertet die Lücke mit 8,1 von 10 Punkten auf der CVSS-Skala, dem üblichen Maßstab für die Schwere von Sicherheitslücken.
In Labortests stand das Zeitfenster laut Wordfence nur Sekunden offen, ein einzelner Abruf hat also wenig Aussicht auf Erfolg. Die Angreifer setzen deshalb auf Ausdauer: Zwei der Absender mit den meisten Zugriffen fragten rund 14,5 Stunden lang immer wieder dieselben kleinen Gruppen von Websites ab, andere probierten viele Varianten von Ordner- und Versionsnamen durch. Neun Minuten nachdem Wordfence eine neue Firewall-Regel freigeschaltet hatte, schlug sie zum ersten Mal an.
Die Angriffsversuche in Zahlen
Messwerte von Wordfence ab dem 28. Oktober 2026, dem Erscheinungstag von WordPress 7.1.4
- >18.500Zugriffe auf die Installationsdatei in den ersten 21 Stunden
- 9 Min.bis die neue Firewall-Regel zum ersten Mal anschlug
- 14,5 hlang fragten zwei Absender immer wieder dieselben Websites ab
- 8,1von 10 Punkten auf der CVSS-Skala für die Schwere von Sicherheitslücken
Nicht jeder Zugriff zielte genau auf den verwundbaren Pfad
Quelle: Wordfence
Patchstack hatte den Angriff am 28. Oktober noch als in der Praxis schwer durchführbar eingestuft. Die Zahlen von Wordfence zeigen, dass Angreifer ihn trotzdem versuchen. Von erfolgreichen Einbrüchen berichtet Wordfence bisher nicht.
Schützt dich eine Firewall?
Nur zum Teil. Wordfence verteilte am 28. Oktober um 21.30 Uhr deutscher Zeit, rund drei Stunden nach der Veröffentlichung des Updates, eine Firewall-Regel gegen den Angriff. Kunden von Wordfence Premium, Care und Response bekamen die Regel sofort, Nutzer der kostenlosen Version wie üblich erst nach 30 Tagen, also am 27. November 2026.
Wirken kann die Regel nur im Modus Extended Protection. Der Angriff ruft die PHP-Datei direkt auf, ohne WordPress zu laden; eine Firewall, die erst zusammen mit WordPress startet, fängt diesen Zugriff nicht ab. Dieselbe Grenze hatte Patchstack für Firewalls beschrieben, die als gewöhnliches Plug-in laufen. Im Firewall-Bereich von Wordfence zeigt der Eintrag „Protection Level“, welcher Modus aktiv ist. Die Regel ersetzt das Update nicht, betont Wordfence.
Was das für dich bedeutet
Prüf am besten gleich unter Dashboard > Aktualisierungen, ob deine Seite 7.1.4 oder die Korrekturversion ihrer Reihe nutzt, etwa 7.0.8 oder 6.9.11. Automatische Aktualisierungen spielen das Update in der Regel selbst ein, Wordfence rät trotzdem zur Kontrolle. Die Liste aller Korrekturversionen steht in der TutKit-Meldung zum Update vom 29. Oktober.
Nutzt du die kostenlose Version von Wordfence, wirkt die neue Regel erst ab dem 27. November. Bis dahin bleiben dir das Update und eine Sperre des Ordners wp-content/upgrade/ direkt auf dem Webserver. Erscheint beim Aufruf deiner Adresse mit dem Zusatz /wp-content/upgrade/ eine Dateiliste, bittest du deinen Hoster, das Verzeichnis abzuriegeln.
Lief deine Seite seit dem 28. Oktober noch ohne Update, lohnt ein Blick auf Spuren eines Einbruchs. Als Warnzeichen nennt Wordfence unbekannte PHP-Dateien unter wp-content/upgrade/, fremde Administratorkonten und Plug-ins, die niemand aus deinem Team installiert hat. Wie du mit Backups eine Seite im Ernstfall zurücksetzt, zeigt die Lektion zu Sicherheit und Backups im Kurs „WordPress für Anfänger“.
Wordfence hat seine Auswertung am 29. Oktober 2026 veröffentlicht.
Quellen
