WordPress: Lücke im Update-Prozess wird ausgenutzt, um Code auf Servern auszuführen, warnt CISA

CISA hat am 3. November 2026 CVE-2026-119977 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen: eine Race Condition bei Core-Updates von WordPress, über die ein nicht angemeldeter Angreifer während des Updates Code auf dem Server ausführen kann. WordPress hat sie in Version 7.1.4 vom 28. Oktober behoben; betroffen sind die Versionen 4.7 bis 7.1.3.

Was geschah

Am 3. November 2026 hat die US-Behörde CISA die WordPress-Core-Lücke CVE-2026-119977 in ihren KEV-Katalog aufgenommen und damit bestätigt, dass sie für Angriffe genutzt wird. US-Bundesbehörden müssen sie bis zum 6. November beheben und zusätzlich eine forensische Prüfung durchführen. WordPress hatte das Problem in Version 7.1.4 geschlossen, die am 28. Oktober mit elf weiteren Sicherheitskorrekturen erschien, und es als Schwäche im Update-Prozess beschrieben, die während des Update-Fensters zur Remote-Codeausführung führen kann.

Wie Angreifer eindringen

Laut dem von Wordfence veröffentlichten CVE-Eintrag nutzen vollständige Core-Updates Zwischenverzeichnisse, deren Pfade vorhersagbar und über das Web erreichbar sind. Gewinnt ein Angreifer das Wettrennen (eine Time-of-check-to-time-of-use-Lücke, mit 8,1 nach CVSS 3.1 bewertet), kann er ohne Konto Code auf dem Server ausführen, während das Update läuft. Verwundbar sind alle Zweige von 4.7.0 bis 7.1.3. Der Angriff ist aufwendig, aber real: Laut BleepingComputer hat Wordfence innerhalb von 24 Stunden 13.095 Versuche blockiert.

Was jetzt zu tun ist

1. Version prüfen für jede Website: wp core version mit WP-CLI oder Dashboard > Aktualisierungen.
2. Auf 7.1.4 aktualisieren (wp core update). Für ältere Zweige veröffentlicht WordPress nach eigenen Angaben Backports bis 4.7: die neueste Version des eigenen Zweigs installieren und den Umstieg auf 7.1 planen.
3. Vorsorglich den Webzugriff auf das Verzeichnis wp-content/upgrade/ sperren (location ^~ /wp-content/upgrade/ { deny all; } unter Nginx, Require all denied unter Apache), da kein Besucher es braucht.
4. Nach Spuren suchen: wp core verify-checksums ausführen, nach PHP-Dateien in wp-content/upgrade/, unbekannten Administratorkonten und kürzlich geänderten Dateien suchen und die Webprotokolle rund um frühere Updates prüfen.

Unsere Einschätzung

Hier war der Update-Vorgang selbst die Schwachstelle: Updates einzuspielen reicht also nicht, auch das Zeitfenster ihrer Installation muss geschützt sein. Auf Unternehmenswebsites gehören kontrollierte Updates, gesperrte Arbeitsverzeichnisse und eine Integritätsprüfung nach jedem Update dazu.

Quellen

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-119977 (WordPress Core)
• WordPress.org — WordPress 7.1.4
• CVE Program — CVE-2026-119977 record
• BleepingComputer — CISA flags WordPress RCE flaw as actively exploited in attacks

Wie wir unsere Analysen auswählen, prüfen und schreiben →