Kurz gesagt
Am 28. Oktober hat WordPress mit Version 7.1.4 insgesamt 22 Sicherheitslücken geschlossen, für ältere Versionszweige gibt es eigene Korrekturfassungen. Eine der Lücken erlaubt Angreifern ohne Passwort, während eines Updates Code auf dem Server auszuführen, und laut der Sicherheitsfirma Wordfence wird das bereits versucht. Lassen Sie sich bestätigen, dass Ihre Website auf 7.1.4 oder der passenden Korrekturfassung läuft.
Was ist passiert?
WordPress ist das verbreitetste System für Firmenwebsites. Version 7.1.4 behebt vor allem Lücken, über die angemeldete Nutzer schädlichen Skriptcode in Seiten einbauen können. Gefährlicher ist eine einzelne Lücke im Aktualisierungsvorgang selbst: Während WordPress ein vollständiges Update auspackt, liegen die neuen Dateien kurz in einem Ordner, dessen Name sich vorhersagen lässt. Wer in diesem Moment die richtige Adresse aufruft, kann fremden Code auf dem Server starten. Das Zeitfenster ist sehr kurz. Wordfence hat trotzdem innerhalb von 21 Stunden über 18.500 Anfragen gezählt, die genau diese Pfade abfragen. Ob ein Angriff schon gelungen ist, ist nicht bekannt.
Was bedeutet das?
Die meisten WordPress-Seiten aktualisieren Sicherheitsversionen automatisch. Genau darauf verlassen sich viele Betriebe, ohne es je zu prüfen. Wurde die automatische Aktualisierung abgeschaltet, etwa weil ein Plugin damit Probleme hatte, bleibt die Seite auf altem Stand. Zuständig ist meist die Agentur, die die Seite gebaut hat, oder der Hoster. Ihre Aufgabe als Betrieb: wissen, wer das ist, und eine Bestätigung verlangen. Eine Website, auf der ein Angreifer Code ausführt, kann Besucher auf Betrugsseiten umleiten, Formulardaten abgreifen oder Spam versenden. Für Ihre Kunden ist das Ihre Website, nicht die der Agentur.
Was Sie jetzt tun können
- Version selbst ansehen. Im WordPress-Adminbereich unter „Dashboard, Aktualisierungen“ steht die installierte Version. Sicher sind 7.1.4 oder die passende Fassung Ihres Zweigs, zum Beispiel 7.0.8, 6.9.11 oder 6.8.12.
- Schriftlich bei Agentur oder Hoster anfragen. Vorlage: „Bitte bestätigen Sie, dass unsere WordPress-Installation auf 7.1.4 oder der passenden Sicherheitsfassung läuft, wann das Update eingespielt wurde und ob automatische Sicherheitsupdates aktiv sind.“
- Mehrere Seiten? Alle aufzählen: Hauptseite, Shop, Landingpages, Testumgebungen. Nebeninstallationen werden bei Updates leicht übersehen.
- Auf Einbruch prüfen lassen, wenn das Update nicht spätestens am 28.
Oktober eingespielt war: unbekannte Administratorkonten, Plugins, die
niemand installiert hat, fremde PHP-Dateien unter
wp-content/upgradeund Zugriffe darauf in den Server-Protokollen. - Uralte Seiten ersetzen. WordPress 4.6 und älter bekommt keine Sicherheitsupdates mehr. Solche Seiten gehören neu aufgesetzt oder abgeschaltet.
Häufige Fragen
Unsere Seite aktualisiert sich automatisch. Müssen wir trotzdem etwas tun? Ein Blick auf die Versionsnummer genügt. Automatische Updates können abgeschaltet sein oder scheitern, ohne dass es jemand merkt.
Hilft ein Sicherheits-Plugin oder eine Firewall? Sie können die Angriffe abfangen, ersetzen aber das Update nicht. Das sagt auch Wordfence, deren Firewall eine passende Regel bekommen hat.
Hat das etwas mit der PHP-Lücke von letzter Woche zu tun? Nein, das ist eine eigene Lücke in WordPress. Für die PHP-Lücken ist das PHP-Update auf dem Server nötig, hier das WordPress-Update. Beides muss erledigt sein.
Quellen
- WordPress.org: WordPress 7.1.4 (28. Oktober 2026)
- WordPress.org: Dokumentation Version 7.1.4 (28. Oktober 2026)
- Wordfence: WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE (29. Oktober 2026)
- WordPress.org: Liste aller Releases
Stand: 1. November 2026. Ersetzt keine Prüfung im Einzelfall. Transparenz: Diese Einordnung ist KI-generiert mit menschlicher Prüfung, gekennzeichnet nach Art. 50 der europäischen KI-Verordnung. Auswahl, Quellenprüfung und Freigabe: Schoonnect.