WordPress 7.1.1 ist seit dem 17. September 2026 verfügbar. Diese Wartungsversion schließt elf Sicherheitslücken im Kern und im Block-Editor, dazu kommen siebzehn Fehlerkorrekturen am Kern und neunzehn an Gutenberg. Das Sicherheitsteam des Projekts stuft die Version als vorrangig ein und empfiehlt eine sofortige Installation statt des Abwartens auf die nächste Hauptversion.
Was 7.1.1 tatsächlich behebt
Der Patch deckt ein breites Spektrum ab: gespeichertes Script über wpautop(), Schwachstellen in der HTML-API, ausnutzbare Theme-Header, nicht autorisierte Theme-Installation, eine Umgehung der Plugin-Aktivierung, authentifizierte Path-Traversal bei REST-Templates, Missbrauch des Customize-Changesets über XML-RPC, willkürliches Überschreiben von Beiträgen, die Offenlegung von Titeln privater Beiträge, die Offenlegung von Slugs bei Entwürfen und ausstehenden Beiträgen sowie eine nicht autorisierte Neuzuordnung von Kommentaren. Mehr als hundert Mitwirkende waren an diesem Zyklus beteiligt, darunter Vertreter großer Hoster wie Automattic, Bluehost, GoDaddy, Pantheon und WP Engine.
Die wichtigsten Lücken im Überblick
Zwei Kategorien verdienen auf einer produktiven Seite besondere Aufmerksamkeit. Die authentifizierte Path-Traversal bei REST-Templates betrifft Installationen, bei denen mehrere Konten über Bearbeitungsrechte verfügen, ein in Agenturen und Teams häufiger Fall. Der Missbrauch des Customize-Changesets über XML-RPC betrifft Seiten, die dieses veraltete Protokoll nie deaktiviert haben, obwohl es nicht mehr genutzt wird.
| Komponente | Art der Lücke | Voraussetzung für Ausnutzung |
|---|---|---|
| wpautop() / HTML-API | Gespeichertes Script | Ungefilterte Nutzerinhalte |
| Themes | Header-Exploit, nicht autorisierte Installation | Admin-Zugriff |
| Plugins | Umgehung der Aktivierung | Admin-Zugriff |
| REST-Templates | Authentifizierte Path-Traversal | Konto mit Bearbeitungsrechten |
| XML-RPC | Missbrauch des Customize-Changesets | XML-RPC aktiv |
| Kommentare | Nicht autorisierte Neuzuordnung | Offener Kommentarbereich |
Elf Sicherheitslücken in einem einzigen Wartungszyklus geschlossen, darunter eine authentifizierte Path-Traversal bei REST-Templates.
Ohne Verzögerung aktualisieren
Das Update steht über das Dashboard, als Direkt-Download auf wordpress.org oder automatisch zur Verfügung, sofern Hintergrund-Updates aktiviert sind. Für einen Bestand an Seiten, der über die Kommandozeile verwaltet wird, bleibt wp-cli der schnellste Weg, es zu prüfen und zu automatisieren:
wp core check-update
wp core update
wp core update-db
wp core versionDer Fahrplan nach 7.1.1
Dieser Fix folgt einem kurzen Zyklus, getrennt von der üblichen Roadmap. Die nächste Hauptversion, WordPress 7.2, ist weiterhin für Dezember 2026 geplant. Bis dahin ist 7.1.1 die Referenzbasis, die jede öffentlich erreichbare Seite fahren sollte, ob als selbst gehostete Installation oder von Dritten verwaltet.
Was bleibt
WordPress 7.1.1 behebt elf Sicherheitslücken und sechsunddreißig Fehler in Kern und Block-Editor. Ein Update ohne Verzögerung wird empfohlen, insbesondere für Seiten mit mehreren Konten oder mit weiterhin aktivem XML-RPC. Version 7.2 bleibt für Dezember 2026 eingeplant.
Wartungsversionen wie diese gehen neben den großen Feature-Releases oft unter, dabei sind sie am dringendsten zu behandeln. Bei den täglich betreuten Seitenbeständen ist die Priorität klar: 7.1.1 vor allen anderen Aufgaben der Woche angehen, ob XML-RPC deaktiviert ist oder nicht — Simon Janvier.
Zum Weiterlesen: die offizielle Ankündigung auf wordpress.org.
