Sicherheit

WordPress-Sicherheitslücke: Fast 63.000 Angriffsversuche innerhalb von 24 Stunden

KI-Generiertes Foto

Eigentlich sollen Updates eine Website sicherer machen. Bei WordPress gab es jetzt allerdings eine Sicherheitslücke, die genau diesen Vorgang zum Risiko machte. Angreifer konnten versuchen, während eines laufenden Updates eigenen Code auf dem Server auszuführen. Und offenbar haben sie nicht lange gezögert.

Laut einem Bericht von Wordfence wurden innerhalb von nur 24 Stunden 62.969 Angriffsversuche auf die Schwachstelle blockiert. Mit WordPress 7.1.4 steht seit dem 28. Oktober 2026 ein Sicherheitsupdate bereit.

Das klingt zunächst ziemlich dramatisch. Ein genauerer Blick zeigt allerdings, dass die Lücke zwar gefährlich ist, ein erfolgreicher Angriff aber einige Voraussetzungen erfüllen muss.

Was steckt hinter der WordPress-Sicherheitslücke?

Die Schwachstelle befindet sich direkt im WordPress-Core, also im Kern des Content-Management-Systems. Betroffen sind zahlreiche Versionen von WordPress 4.7 bis einschließlich 7.1.3.

Das Problem tritt bei bestimmten vollständigen Core-Updates auf. Während der Aktualisierung entpackt WordPress neue Dateien vorübergehend in einem Unterverzeichnis von wp-content/upgrade.

Genau dort liegt die Schwachstelle.

In älteren Versionen konnte dieser temporäre Ordner unter bestimmten Serverkonfigurationen von außen über den Browser erreicht werden. Außerdem enthielt er Dateien des WordPress-Installationsprogramms.

Ein Angreifer, der den passenden Zeitpunkt erwischt, kann diesen Installer aufrufen und unter ungünstigen Umständen eigenen PHP-Code ausführen lassen.

Fachleute sprechen hierbei von Remote Code Execution (RCE). Vereinfacht bedeutet das, dass jemand aus der Ferne Befehle auf einem Server ausführen kann, ohne sich vorher regulär anmelden zu müssen.

Die Schwachstelle wird inzwischen unter der Kennung CVE-2026-119977 geführt und mit einem CVSS-Wert von 8,1 als schwerwiegend eingestuft.

Warum der Zeitpunkt beim Angriff entscheidend ist

Das Besondere an dieser Sicherheitslücke ist ihr extrem kurzes Angriffsfenster.

Der verwundbare Ordner existiert nicht dauerhaft in der entsprechenden Form. Er entsteht während des Aktualisierungsvorgangs und wird anschließend wieder bereinigt.

In Tests war dieses Zeitfenster teilweise nur wenige Sekunden lang geöffnet.

Ein Angreifer muss deshalb mehrere Bedingungen gleichzeitig erfüllen:

  • Die Website muss gerade ein vollständiges WordPress-Core-Update durchführen.

  • Der temporäre Update-Ordner muss von außen erreichbar sein.

  • Der Angreifer muss den richtigen Verzeichnispfad kennen oder herausfinden.

  • Der Angriff muss abgeschlossen sein, bevor WordPress die temporären Dateien entfernt.

Das macht einen erfolgreichen Angriff deutlich schwieriger als bei einer Sicherheitslücke, die jederzeit erreichbar ist.

Allerdings haben Angreifer einen entscheidenden Vorteil: Sie müssen nicht persönlich vor dem Rechner sitzen und den richtigen Moment abpassen. Automatisierte Programme können entsprechende Anfragen dauerhaft wiederholen.

Und genau das wurde bereits beobachtet.

Fast 63.000 Angriffsversuche zeigen das Interesse der Angreifer

Wordfence registrierte laut dem Bericht vom 30. Oktober 2026 innerhalb von 24 Stunden insgesamt 62.969 blockierte Angriffsversuche.

Dabei versuchten Angreifer unter anderem, Installationsdateien wie setup-config.php in verschiedenen temporären WordPress-Verzeichnissen aufzurufen.

Besonders auffällig waren zwei Angriffsquellen, die über ungefähr 14,5 Stunden hinweg immer wieder dieselben kleinen Gruppen von Websites überprüften.

Das Ziel dahinter ist relativ einfach: Irgendwann könnte eine dieser Websites genau in diesem Moment ein Update durchführen.

Andere Angreifer probierten unterschiedliche Verzeichnisnamen und Versionsbezeichnungen aus, um mögliche Installationspfade aufzuspüren.

Wichtig ist allerdings die Einordnung: 62.969 blockierte Angriffsversuche bedeuten nicht, dass ebenso viele WordPress-Websites kompromittiert wurden.

Die Zahl beschreibt registrierte und abgewehrte Anfragen innerhalb eines bestimmten Zeitraums. Sie ist kein Nachweis für erfolgreiche Einbrüche.

Trotzdem zeigt sie, wie schnell eine öffentlich bekannte Schwachstelle in automatisierte Angriffswerkzeuge aufgenommen wird.

Welche WordPress-Versionen sind betroffen?

Die Sicherheitslücke betrifft den WordPress-Core über zahlreiche ältere Versionsreihen hinweg. Dazu zählen auch die Versionen 7.1.0 bis 7.1.3.

Mit WordPress 7.1.4 wurde das Problem behoben. Die Entwickler haben entsprechende Korrekturen auch für ältere Versionszweige bis zurück zu WordPress 4.7 bereitgestellt.

Bei der Fehlerbehebung wurden unter anderem die temporären Verzeichnispfade besser abgesichert und zusätzliche Schutzmaßnahmen für den Update-Prozess eingebaut.

Wer beispielsweise weiterhin den Versionszweig 6.9 verwendet, kann die Sicherheitskorrektur mit Version 6.9.11 erhalten. Für WordPress 7.0 steht Version 7.0.8 bereit.

Langfristig ist es trotzdem sinnvoll, auf einer aktuellen, unterstützten WordPress-Version zu bleiben. Alte Installationen sind nicht unbedingt sofort unsicher, nur weil sie älter sind. Sie machen die Wartung aber auf Dauer unnötig kompliziert.

Was sollten WordPress-Betreiber jetzt tun?

Wer eine eigene WordPress-Website betreibt, sollte zunächst kontrollieren, welche Version installiert ist.

Dabei würde ich mich nicht blind auf automatische Updates verlassen. Diese funktionieren meistens zuverlässig, können aber beispielsweise durch Serverprobleme, fehlende Schreibrechte oder individuelle Einstellungen scheitern.

Folgende Maßnahmen sind jetzt sinnvoll:

  1. WordPress-Version kontrollieren: Im Backend unter „Dashboard → Aktualisierungen“ prüfen, ob WordPress 7.1.4 beziehungsweise die korrigierte Version des verwendeten Versionszweigs installiert ist.

  2. Vorhandenes Backup prüfen: Vor einem manuellen Update sicherstellen, dass eine aktuelle, wiederherstellbare Sicherung der Website existiert.

  3. Update-Verzeichnis absichern: Wer Zugriff auf die Serverkonfiguration hat, kann direkte Webzugriffe auf wp-content/upgrade unterbinden. Gerade vor einem manuellen Update ist das eine zusätzliche Schutzmaßnahme.

  4. Sicherheitsprotokolle kontrollieren: Auffällige Zugriffe auf PHP-Dateien im Update-Verzeichnis können auf Angriffsversuche hindeuten.

  5. Website auf Veränderungen untersuchen: Unbekannte Administratoren, neu aufgetauchte Plugins oder verdächtige PHP-Dateien sollten genauer überprüft werden.

  6. Sicherheitslösungen richtig konfigurieren: Wer beispielsweise Wordfence einsetzt, sollte auf eine aktive Firewall und den erweiterten Schutzmodus achten. Eine Firewall ersetzt allerdings kein Sicherheitsupdate.

Gerade der dritte Punkt ist interessant: Da die Schwachstelle während des Updates ausgenutzt werden kann, ist es für technisch erfahrene Betreiber sinnvoll, den Zugriff auf das temporäre Verzeichnis bereits vor der Aktualisierung zu sperren.

Wer diese Möglichkeit nicht hat, sollte das Sicherheitsupdate deshalb aber nicht auf unbestimmte Zeit verschieben. Die erforderlichen Bedingungen für einen erfolgreichen Angriff sind vergleichsweise speziell, und das Update beseitigt zusätzlich weitere Sicherheitsprobleme.

Nicht nur die RCE-Schwachstelle wurde geschlossen

WordPress 7.1.4 behebt neben dem beschriebenen Problem noch eine Reihe weiterer Sicherheitslücken.

Dazu zählen unter anderem verschiedene Cross-Site-Scripting-Schwachstellen (XSS), Probleme mit der Interactivity API und Möglichkeiten zur unerwünschten Offenlegung von Informationen.

Einige dieser Schwachstellen setzen bereits vorhandene Benutzerrechte voraus. Andere können unter bestimmten Bedingungen auch ohne Anmeldung relevant werden.

Das macht die Aktualisierung gleich aus mehreren Gründen wichtig.

Fazit: Eine ungewöhnliche Sicherheitslücke mit ernstem Risiko

Was ich an diesem Fall besonders bemerkenswert finde, ist der Angriffspunkt. Normalerweise denkt man bei WordPress-Sicherheitsproblemen zuerst an veraltete Plugins, unsichere Themes oder schlecht geschützte Benutzerkonten.

Hier liegt das Problem ausgerechnet im Aktualisierungsprozess selbst.

Die gute Nachricht ist, dass die Schwachstelle nur unter bestimmten Umständen und innerhalb eines sehr kurzen Zeitfensters ausgenutzt werden kann. Ein erfolgreicher Angriff ist dadurch technisch anspruchsvoller.

Die schlechte Nachricht: Automatisierte Angriffe machen selbst solche kurzen Zeitfenster interessant. Die fast 63.000 registrierten Versuche zeigen das ziemlich deutlich.

Mein Fazit: Wer WordPress betreibt, sollte seine Installation zeitnah auf einen korrigierten Versionsstand bringen und anschließend einen Blick auf die Sicherheitsprotokolle werfen. Wer seinen Server selbst verwaltet, sollte zusätzlich prüfen, ob temporäre Update-Dateien überhaupt öffentlich erreichbar sein müssen.

Denn eine Website sollte nach einem Update sicherer sein als vorher. Nicht ausgerechnet währenddessen zum Einfallstor werden.

Quellen