WordPress 7.1.4 behebt eine Lücke während des Updates: Prüfen Sie jede Installation

WordPress veröffentlichte am 28. Oktober 2026 Version 7.1.4 mit Sicherheitskorrekturen. Dazu gehört eine Schwachstelle, die während des Upgrade-Zeitfensters die Ausführung von Code aus der Ferne ermöglichen kann. Die Veröffentlichungsmitteilung empfiehlt eine sofortige Aktualisierung. Wer mehrere Websites betreibt, sollte zuerst feststellen, welche Installationen die Korrektur tatsächlich erhalten haben.

Bei Websites mit Unterstützung für automatische Hintergrundupdates beginnt der Vorgang laut WordPress selbstständig. Das beschreibt den Start eines Updates, bestätigt aber nicht dessen Abschluss auf jedem Server. Eine aktivierte Einstellung, eine alte Wartungscheckliste oder die allgemeine Update-Politik eines Hosters ersetzt nicht die Kontrolle der installierten Version.

Der Upgrade-Prozess ist selbst Teil der Sicherheitskorrektur

Die Mitteilung nennt Umut Bayram als Melder der Schwachstelle im Upgrade-Prozess. Sie führt außerdem gespeicherte Cross-Site-Scripting-Probleme auf, unter anderem in der Interactivity API, bei der selektiven Aktualisierung des Customizers und bei Anfragen zur Löschung personenbezogener Daten. Hinzu kommt ein gespeichertes Denial-of-Service-Problem. Wegen des eMudhra-Widerrufs werden auch die mitgelieferten Stammzertifikate aktualisiert.

Weitere Korrekturen betreffen die unauthentifizierte Erkennung unveröffentlichter Customizer-Änderungssätze sowie den Zugriff auf Beitragsnotizen durch privilegierte Nutzer, die den zugehörigen Beitrag nicht bearbeiten dürfen. Das sind unterschiedliche Berechtigungs- und Offenlegungsprobleme. Die Mitteilung belegt weder einen Angriff auf eine bestimmte Website noch identische Voraussetzungen zur Ausnutzung aller Probleme.

Die Versionsdokumentation erläutert betroffene Komponenten und Berechtigungen genauer. Sie hilft Administratoren bei der Bewertung einer konkreten Installation. Für Betreiber, die über das Vorgehen entscheiden, ist die Empfehlung zum sofortigen Update bereits eindeutig; die Lücke im Upgrade-Zeitfenster ist kein Grund, die Reparatur aufzuschieben.

Bestätigen Sie den Abschluss und prüfen Sie die Funktion

Öffnen Sie das Dashboard jeder Website, wählen Sie Aktualisierungen und kontrollieren Sie die aktuelle Version. Für den derzeitigen stabilen Versionszweig ist das Ziel dieser Veröffentlichung 7.1.4. Wird das Update noch angeboten, verwenden Sie Jetzt aktualisieren oder beauftragen Sie die für das Hosting zuständige Person. Öffnen Sie den Bildschirm nach Abschluss erneut und dokumentieren Sie die erreichte Version.

Die WordPress-Update-Anleitung empfiehlt eine vorherige Sicherung und erläutert, dass fehlgeschlagene Ein-Klick-Updates mit Dateisystemberechtigungen zusammenhängen können. Ein brauchbares Wartungsprotokoll enthält daher Website, installierte Version, Speicherort der Sicherung, Ergebnis und offene Fehler. Ein fehlgeschlagenes Update gehört auf eine aktive Aufgabenliste und nicht in die Spalte für erledigte Arbeiten.

Prüfen Sie anschließend einen öffentlichen Artikel, den Administratorzugang und eine wesentliche Veröffentlichungsfunktion. Damit stellen Sie fest, ob die Website weiterhin nutzbar ist; ein Sicherheitsaudit ersetzen diese Prüfungen nicht. Nutzen Sie einen vorbereiteten Staging- und Rücksetzplan und stellen Sie sicher, dass Ihre Sicherungs- und Wiederherstellungsprüfungen eine tatsächlich durchführbare Wiederherstellung abdecken.

Ältere Zweige brauchen eine konkrete Versionsnummer

Laut Ankündigung reichen die Sicherheitsrückportierungen bis zum Zweig 4.7; ihre Auslieferung war noch im Gang. Die Versionsdokumentation führt inzwischen gepatchte ältere Versionen einschließlich 4.7.39 auf und erklärt, dass 4.6 und frühere Zweige keine Sicherheitsupdates mehr erhalten. Nur die neueste WordPress-Version wird aktiv unterstützt. Prüfen Sie den aufgeführten Patch für den tatsächlich installierten Zweig; vorhandene Rückportierungen machen nicht jede alte Installation sicher.

Kann eine Website heute nicht aktualisiert werden, kontaktieren Sie Hoster oder Wartungsverantwortliche mit Versionsnummer und blockierendem Fehler. Bestimmen Sie eine zuständige Person und einen konkreten Termin für Wiederherstellung oder Upgrade. Lassen Sie während der Vorbereitung eine auf diese Website bezogene Einschätzung zur Begrenzung des Risikos vornehmen. Eine Sicherung, eine Firewall oder das Versprechen eines späteren Updates beweist nicht, dass diese Schwachstellen behoben sind.

Dieselbe Mitteilung erklärt, dass 7.2 Beta 3 die anwendbaren Korrekturen enthält, und nennt den 8. Dezember als geplanten Veröffentlichungstermin für 7.2. Das Versionsarchiv trennt Betatests von Produktionsversionen. Eine künftige Hauptversion ist kein Grund, ein aktuelles Sicherheitsupdate offen zu lassen.