WordPress 7.1.4 schließt ein RCE-Risiko im Update-Prozess und ein Dutzend XSS-Lücken

Die am 28. Oktober 2026 veröffentlichte Version WordPress 7.1.4 schließt eine Schwachstelle im Update-Mechanismus, die unter bestimmten Bedingungen während des Update-Vorgangs selbst zu einer Remote-Code-Ausführung führen konnte. Zusätzlich behebt die Version rund ein Dutzend gespeicherte Cross-Site-Scripting-Lücken (XSS) im Block-Editor, in der Interactivity API und im Customizer. Das Sicherheitsteam empfiehlt, betroffene Websites umgehend zu aktualisieren.

#Eine kritische Lücke im Update-Mechanismus

Der sensibelste Fix betrifft den Prozess, der Core-, Theme- und Plugin-Updates herunterlädt und installiert. Die vom Forscher Umut Bayram gemeldete Schwachstelle konnte unter genau definierten serverseitigen Bedingungen beliebigen Code ausführen, während sich WordPress selbst aktualisiert. Diese Art von Sicherheitslücke ist besonders heikel: Sie betrifft genau den Mechanismus, der Websites eigentlich vor bekannten Lücken schützen soll.

Der Fix verschärft die Validierung heruntergeladener Pakete vor deren Entpacken und Anwendung, ohne sichtbare Änderung für Administratoren.

#Eine Reihe gespeicherter XSS-Lücken im Block-Editor

Die meisten übrigen Fixes betreffen gespeicherte Cross-Site-Scripting-Lücken, bei denen einmal eingeschleuster Schadcode für alle Besucher der betroffenen Seite aktiv bleibt. Betroffen sind:

• das Rendering speziell präparierter Blöcke (Rafie Muhammad);
• Anfragen zur Löschung personenbezogener Daten, ein von Anthropic gemeldeter Vektor;
• mehrere Stellen der Interactivity API, darunter ein von Jon Surrell gefundener Fall von gespeichertem Denial-of-Service;
• die selektive Aktualisierung im Customizer (Rafie Muhammad);
• den Kategorien-Block (Ben Bidner);
• speziell präparierte Login-Benutzernamen, ein weiterer von Anthropic gemeldeter Vektor;
• die Playlist- und Bild-Blöcke (Ben Bidner);
• die Blöcke zur Kommentar-Paginierung (Alex Concha).

Zwei weitere Fixes schließen die Möglichkeit für nicht angemeldete Besucher, unveröffentlichte Customizer-Changesets einzusehen (Antonio Lorensius Silaban), sowie eine Berechtigungslücke, durch die privilegierte Nutzer ohne Bearbeitungsrecht am zugehörigen Beitrag bestimmte Notizen lesen konnten (Ramon).

#Aktualisieren über die Kommandozeile

Auf einem selbstverwalteten Hosting bleibt die Aktualisierung über WP-CLI der zuverlässigste Weg, die installierte Version vor und nach dem Vorgang zu prüfen:

wp core check-update
wp core update
wp core version --extra

Bei verwaltetem Hosting ohne SSH-Zugang löst der Ein-Klick-Hinweis im Dashboard denselben korrigierten Prozess aus.

Eine Lücke im Update-Prozess betrifft den Schutzmechanismus selbst, nicht nur die Fläche, die er absichert.

#Root-Zertifikate und Zeitplan für 7.2

7.1.4 bringt zudem eine Aktualisierung der gebündelten Root-Zertifikate mit, als Reaktion auf den Widerruf des eMudhra-Zertifikats. Die Sicherheitsfixes werden auf alle berechtigten Branches zurückportiert, bis hin zu 4.7, und erscheinen, sobald sie fertig sind. Die nächste Hauptversion, WordPress 7.2, bleibt für den 8. Dezember 2026 geplant; deren Beta 3 enthält die Fixes dieser Version bereits.

#Das Wichtigste in Kürze

WordPress 7.1.4 behebt elf gespeicherte XSS-Lücken und eine seltenere Schwachstelle im Update-Prozess selbst. Ein CVE ist auf der offiziellen Seite derzeit nicht angegeben, doch die Empfehlung zur sofortigen Aktualisierung lässt keinen Aufschub zu. Sie erinnert, wie die im Vormonat im Eilverfahren geschlossene kritische RCE-Lücke in PHP, daran, dass Fixes am Kern einer Plattform vorrangig behandelt werden sollten.

Zum Weiterlesen: Die vollständige Liste der Fixes steht in der offiziellen WordPress-7.1.4-Ankündigung.