Zum Inhalt springen

Das Magazin für Web-Handwerker Samstag, 19. September 2026

Sicherheit

WordPress 7.1.1 schließt elf Sicherheitslücken im Eilverfahren

WordPress 7.1.1 schließt elf Sicherheitslücken im Kern und im Block-Editor, darunter eine authentifizierte Path-Traversal-Lücke in den REST-Templates. Das Sicherheitsteam rät zu einem sofortigen Update, noch vor der für Dezember geplanten Version 7.2.

WordPress 7.1.1 ist seit dem 17. September 2026 verfügbar. Diese Wartungsversion schließt elf Sicherheitslücken im Kern und im Block-Editor, dazu kommen siebzehn Fehlerkorrekturen am Kern und neunzehn an Gutenberg. Das Sicherheitsteam des Projekts stuft die Version als vorrangig ein und empfiehlt eine sofortige Installation statt des Abwartens auf die nächste Hauptversion.

Was 7.1.1 tatsächlich behebt

Der Patch deckt ein breites Spektrum ab: gespeichertes Script über wpautop(), Schwachstellen in der HTML-API, ausnutzbare Theme-Header, nicht autorisierte Theme-Installation, eine Umgehung der Plugin-Aktivierung, authentifizierte Path-Traversal bei REST-Templates, Missbrauch des Customize-Changesets über XML-RPC, willkürliches Überschreiben von Beiträgen, die Offenlegung von Titeln privater Beiträge, die Offenlegung von Slugs bei Entwürfen und ausstehenden Beiträgen sowie eine nicht autorisierte Neuzuordnung von Kommentaren. Mehr als hundert Mitwirkende waren an diesem Zyklus beteiligt, darunter Vertreter großer Hoster wie Automattic, Bluehost, GoDaddy, Pantheon und WP Engine.

Die wichtigsten Lücken im Überblick

Zwei Kategorien verdienen auf einer produktiven Seite besondere Aufmerksamkeit. Die authentifizierte Path-Traversal bei REST-Templates betrifft Installationen, bei denen mehrere Konten über Bearbeitungsrechte verfügen, ein in Agenturen und Teams häufiger Fall. Der Missbrauch des Customize-Changesets über XML-RPC betrifft Seiten, die dieses veraltete Protokoll nie deaktiviert haben, obwohl es nicht mehr genutzt wird.

KomponenteArt der LückeVoraussetzung für Ausnutzung
wpautop() / HTML-APIGespeichertes ScriptUngefilterte Nutzerinhalte
ThemesHeader-Exploit, nicht autorisierte InstallationAdmin-Zugriff
PluginsUmgehung der AktivierungAdmin-Zugriff
REST-TemplatesAuthentifizierte Path-TraversalKonto mit Bearbeitungsrechten
XML-RPCMissbrauch des Customize-ChangesetsXML-RPC aktiv
KommentareNicht autorisierte NeuzuordnungOffener Kommentarbereich

Elf Sicherheitslücken in einem einzigen Wartungszyklus geschlossen, darunter eine authentifizierte Path-Traversal bei REST-Templates.

Ohne Verzögerung aktualisieren

Das Update steht über das Dashboard, als Direkt-Download auf wordpress.org oder automatisch zur Verfügung, sofern Hintergrund-Updates aktiviert sind. Für einen Bestand an Seiten, der über die Kommandozeile verwaltet wird, bleibt wp-cli der schnellste Weg, es zu prüfen und zu automatisieren:

wp core check-update
wp core update
wp core update-db
wp core version
Auf einer gehärteten Basis ist XML-RPC in der Regel bereits standardmäßig deaktiviert, was die Angriffsfläche für eine der in dieser Version behobenen Lücken von vornherein verringert.

Der Fahrplan nach 7.1.1

Dieser Fix folgt einem kurzen Zyklus, getrennt von der üblichen Roadmap. Die nächste Hauptversion, WordPress 7.2, ist weiterhin für Dezember 2026 geplant. Bis dahin ist 7.1.1 die Referenzbasis, die jede öffentlich erreichbare Seite fahren sollte, ob als selbst gehostete Installation oder von Dritten verwaltet.

Was bleibt

WordPress 7.1.1 behebt elf Sicherheitslücken und sechsunddreißig Fehler in Kern und Block-Editor. Ein Update ohne Verzögerung wird empfohlen, insbesondere für Seiten mit mehreren Konten oder mit weiterhin aktivem XML-RPC. Version 7.2 bleibt für Dezember 2026 eingeplant.

Wartungsversionen wie diese gehen neben den großen Feature-Releases oft unter, dabei sind sie am dringendsten zu behandeln. Bei den täglich betreuten Seitenbeständen ist die Priorität klar: 7.1.1 vor allen anderen Aufgaben der Woche angehen, ob XML-RPC deaktiviert ist oder nicht — Simon Janvier.

Zum Weiterlesen: die offizielle Ankündigung auf wordpress.org.

Teilen LinkedIn Bluesky Hacker News E-mail

Ebenfalls lesenswert