WordPress 7.1.4: Sicherheitsupdate schließt Lücke im Update-Vorgang

Am 28. Oktober 2026 hat WordPress die Version 7.1.4 veröffentlicht. Es ist ein reines Sicherheitsupdate: Laut der Ankündigung auf WordPress.org behebt es zwölf Schwachstellen und aktualisiert zusätzlich die mitgelieferten Root-Zertifikate. Die schwerste Lücke betrifft den Update-Vorgang selbst. Während eine Website aktualisiert wird, kann sie nach Angaben von WordPress dazu führen, dass fremder Code auf dem Server ausgeführt wird.

WordPress empfiehlt, alle Websites sofort zu aktualisieren. Websites, die automatische Hintergrund-Updates nutzen, erhalten die neue Version ohne weiteres Zutun. Die Korrekturen hat WordPress auch in ältere Versionszweige übernommen, die noch Sicherheitsupdates bekommen, derzeit zurück bis Version 4.7. Aktiv weiterentwickelt wird nur die neueste Version.

Das Sicherheitsunternehmen Wordfence berichtet, dass schon kurz nach der Veröffentlichung Angriffsversuche zu beobachten waren. Das ist ein bekanntes Muster: Sobald ein Update erscheint, vergleichen Angreifer alten und neuen Code und suchen gezielt nach Websites, die noch nicht aktualisiert sind.

Betroffen sind vor allem drei Fälle. Erstens Websites, bei denen automatische Updates abgeschaltet sind, etwa weil eine Agentur oder ein Dienstleister Updates gesammelt und nach eigenem Plan einspielt. Zweitens Websites auf einem älteren Versionszweig, die zwar eine korrigierte Zwischenversion bekommen, bei denen aber niemand prüft, ob sie angekommen ist. Drittens Websites, bei denen das automatische Update fehlschlägt, zum Beispiel wegen fehlender Schreibrechte oder eines Konflikts mit einem Plugin. Solche Fehler fallen oft erst auf, wenn jemand nachsieht.

Was jetzt zu tun ist, ist überschaubar. Im WordPress-Dashboard zeigt die Seite „Aktualisierungen“, welche Version installiert ist und ob ein Update aussteht. Wer die Website nicht selbst betreut, fragt seinen Dienstleister, ob 7.1.4 oder die passende Zwischenversion des eigenen Zweigs eingespielt ist. Wo automatische Updates bewusst abgeschaltet sind, lohnt es sich, zumindest Sicherheitsupdates wieder automatisch zuzulassen.

Ein Punkt wird dabei leicht übersehen: Ein WordPress-Update aktualisiert nicht die PHP-Version des Servers. Darauf weist auch Wordfence im Zusammenhang mit den kritischen PHP-Lücken der vergangenen Wochen hin. Wer WordPress auf 7.1.4 gebracht hat, sollte deshalb beim Hoster oder Dienstleister auch nachfragen, ob PHP auf einem aktuellen Stand ist und neu gestartet wurde.

Offen ist noch, wie viele Websites tatsächlich angegriffen wurden. WordPress selbst nennt keine Einzelheiten zu den Lücken, solange viele Websites noch nicht aktualisiert sind.