WordPress Core RCE Schwachstelle: Update-Risiko

Eine WordPress Core RCE Schwachstelle lässt sich ausnutzen, während eine Website sich selbst aktualisiert: Bei einem vollständigen Core-Update liegen die neuen Dateien kurz in einem vorhersehbaren Ordner, den jeder abrufen kann. Wordfence hat dafür CVE-2026-119977 (CVSS 8.1) vergeben, und die CISA hat die Lücke am 3. November in den Known-Exploited-Vulnerabilities-Katalog aufgenommen, mit einer Frist für US-Behörden bis zum 6. November. WordPress 7.1.4 vom 28. Oktober behebt sie.

Was ist passiert

Die WordPress Core RCE Schwachstelle steckt im Update-Prozess für vollständige Pakete. WordPress hat die neuen Dateien in ein vorhersehbares Verzeichnis innerhalb des über das Web erreichbaren Upgrade-Ordners entpackt. Ein nicht authentifizierter Angreifer, der das Rennen gegen das Entpacken gewinnt, kann Code auf dem Server ausführen. Das WordPress-Sicherheitsbulletin (veröffentlicht am 29. Oktober) nennt WordPress 4.7 bis 7.1.3 als betroffen. Gemeldet hat die Lücke Umut Bayram von Picus Security.

WordPress hat 7.1.4 am 28. Oktober veröffentlicht; Websites mit Hintergrund-Updates starten das Update von selbst. Laut Release-Beitrag erscheinen die Korrekturen für ältere Versionen, sobald sie fertig sind; Wordfence listet gepatchte Versionen für jeden Zweig ab 4.7.39, darunter 6.8.12, 6.9.11 und 7.0.8. Stand 4. November zeigt die WordPress-Release-Seite für diese Korrektur nur 7.1.4; bestätigen Sie also, dass das Release für Ihren Zweig verfügbar ist, bevor Sie sich darauf verlassen. Die Bewertungen weichen ab: Das WordPress-Bulletin stuft die Lücke als niedrig ein, Wordfence vergibt 8.1 mit hoher Angriffskomplexität, weil der Angreifer das Zeitfenster treffen muss.

Die CISA führt die Lücke als ausgenutzt und verlangt eine forensische Prüfung. Stand 4. November vermerkt die CISA die Nutzung durch Ransomware als unbekannt, und wir haben keinen benannten Akteur gefunden. The Hacker News berichtet unter Berufung auf Wordfence von mehr als 18.500 Anfragen auf bereitgestellte setup-config.php-Installationspfade in den ersten 21 Stunden nach der Veröffentlichung.

Warum das wichtig ist

Das Risiko ist kurz, kehrt aber mit jedem vollständigen Core-Update zurück. Angreifer brauchen weder einen Plugin-Fehler noch ein Login, nur das richtige Timing, und die von Wordfence gezählten Anfragen zeigen, dass bereits nach dem bereitgestellten Pfad gesucht wird. Annahme: Agenturen und Hoster, die viele Websites gleichzeitig aktualisieren, öffnen dieses Fenster am häufigsten.

Für eine Unternehmenswebsite bedeutet das eine mögliche Übernahme des Webserver-Kontos, mit den üblichen Folgen: Defacement, Schadcode-Auslieferung an Besucher, abgegriffene Formulardaten. Sind personenbezogene Daten betroffen, können Meldepflichten nach DSGVO greifen, und NIS2-pflichtige Organisationen sollten ihre eigenen Schwellen prüfen. Im Juli haben wir über wp2shell berichtet, eine Lücke in der REST-API; diese hier liegt im Update-Prozess selbst.

Was Sie jetzt tun sollten

1. Prüfen Sie die Version jeder WordPress-Website und aktualisieren Sie auf 7.1.4 oder, sobald verfügbar, auf die korrigierte Version Ihres Zweigs (gelistet sind 7.0.8, 6.9.11 oder 6.8.12). WordPress portiert Sicherheitskorrekturen nur bis 4.7 zurück, ältere Websites brauchen ein größeres Upgrade.
2. Gehen Sie nicht davon aus, dass Auto-Updates gelaufen sind. Bestätigen Sie die Version Website für Website, auch bei Seiten, die eine Agentur oder ein Hoster betreut.
3. Suchen Sie nach Spuren seit dem 28. Oktober: Webserver-Logs auf Anfragen an bereitgestellte setup-config.php-Installationspfade, unbekannte PHP-Dateien, neue Administratorkonten und veränderte Core-Dateien (wp core verify-checksums vergleicht die Core-Dateien mit dem offiziellen Release).
4. Fragen Sie Ihren Hoster oder Ihre Agentur, wie Upgrade-Ordner während eines Updates geschützt sind. Wir haben dazu keine Herstellervorgaben gefunden, behandeln Sie es also als Frage an die Betreuer, nicht als Lösung.

DIESEC Einschätzung

Wir behandeln das CMS-Update selbst als überwachte Änderung: wer es ausgeführt hat, wann, und was danach im Webverzeichnis aufgetaucht ist. Nur wenige Websites protokollieren das, und es ist der Beleg, den Sie brauchen, wenn ein solches Fenster genutzt wurde.

Nicht sicher, ob Ihre WordPress-Websites sicher aktualisiert wurden? Kontaktieren Sie DIESEC für eine WordPress-Patch-Verifizierung und eine Kompromittierungsprüfung.

Quellen: WordPress 7.1.4 Release | WordPress-Sicherheitsbulletin | Wordfence | CISA | The Hacker News
Veröffentlicht: 2026-11-05 | Kategorie: Tägliche News | ~4 Min. Lesezeit