Am 28. Oktober 2026 hat WordPress die Version 7.1.4 veröffentlicht. Dabei handelt es sich um ein reines Sicherheitsupdate, das eine Reihe von Schwachstellen in verschiedenen Teilen des Systems behebt. Da einige dieser Lücken potenziell schwerwiegende Folgen haben können, sollten Betreiber ihre Installationen zeitnah aktualisieren.
Das Update adressiert insgesamt 22 Schwachstellen. Die wichtigsten davon im Überblick:
Kritische Race Condition im Update-Prozess
Eine der gravierendsten Lücken betraf den Upgrade-Prozess von WordPress selbst. Durch eine sogenannte Race Condition – ein Timing-Problem während des laufenden Updates – war es unter bestimmten Umständen möglich, Schadcode aus der Ferne einzuschleusen und auszuführen (Remote Code Execution).
Zahlreiche Cross-Site-Scripting-Lücken (XSS)
Der Großteil der behobenen Schwachstellen entfällt auf sogenannte Stored-XSS-Lücken. Dabei werden schädliche Skripte dauerhaft auf dem Server gespeichert und bei jedem Aufruf der betroffenen Seite im Browser der Besucher ausgeführt. Die Angriffspunkte zogen sich quer durch das gesamte System.
- Block-Markups: Speziell präparierte Blockinhalte im Editor ermöglichten das Einschleusen von Skripten, sowohl über Whitespace in Block-Delimitern als auch über manipulierte Block-Markups.
- Personenbezogene Daten: Die Bildschirme für Lösch- und Exportanfragen personenbezogener Daten waren für Editor- und Contributor-Nutzer anfällig für XSS.
- Interactivity API: Mehrere Schwachstellen in den Bindings der Interactivity API erlaubten esContributor-Nutzern, Objektelemente zu laden oder über
javascript:-URLs sowie Event-Handler Skripte einzuschleusen. Auch eine Prototype-Pollution in den Context-Namespaces wurde behoben. - Customizer: Sowohl die selective Refresh-Funktion als auch die Vorschau nicht veröffentlichter Änderungen waren betroffen – Letzteres ermöglichte unauthentifizierten Besuchern die Einsicht in eigentlich noch nicht veröffentlichte Anpassungen.
- Blöcke und Navigation: Die Beschriftungen der Blöcke für Kommentar-Paginierung und Post-Navigation sowie der Kategorien-Block über eine Format-String-Injection waren anfällig für XSS.
- Weitere Bereiche: Auch der Interactivity Router über hochgeladene Textdateien, die Kommentar-Moderation durch benutzerdefinierte Rollen und die Multisite-Nutzerverwaltung wiesen Schwachstellen auf, die nun geschlossen sind.
Weitere Sicherheitskorrekturen
Neben den XSS-Lücken wurden auch eine Schwachstelle in der Informationslecksicherheit, ein Berechtigungsproblem bei der Kommentar-Moderation sowie eine Hardening-Maßnahme für unsichere preg_replace()-Ersetzungen in Bild- und Playlist-Blöcken behoben. Zudem wurden die mitgelieferten Root-Zertifikate aufgrund einer Revokation durch eMudhra aktualisiert.
Wer ist betroffen?
Alle WordPress-Installationen der Versionen 7.1 bis 7.1.3 sind von den Schwachstellen betroffen. Die 22 Lücken betreffen auch ältere Versionszweige: So waren die Versionen 7.0 und 6.9 von allen 22 Schwachstellen betroffen. Version 6.8 wies 20 Schwachstellen auf, Version 6.7 und Version 6.6 noch 19. Für alle aktiv unterstützten älteren Zweige wurden entsprechende Wartungsversionen veröffentlicht (zum Beispiel 7.0.8, 6.9.11, 6.8.12 und weitere bis hinunter zu 4.7.39).
WordPress weist jedoch ausdrücklich darauf hin, dass nur die neueste Version vollständigen Schutz bietet.
