Am 3. November 2026 hat die US-Behörde CISA eine Sicherheitslücke im WordPress-Kern (CVE-2026-119977) in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Sie steckt im Update-Vorgang von WordPress selbst und kann nach Angaben des WordPress-Teams Code auf dem Server ausführen. Die Korrektur steht seit dem 28. Oktober 2026 in WordPress 7.1.4 bereit. Wichtig ist das für jeden Betrieb, dessen Website mit WordPress läuft und nicht automatisch aktualisiert wird.
Was ist passiert?
WordPress.org hat am 28. Oktober 2026 die Sicherheitsversion 7.1.4 veröffentlicht. Sie schließt rund ein Dutzend Probleme, darunter mehrere Cross-Site-Scripting-Lücken in Blöcken, im Customizer und in der Interactivity API. Eine der Lücken betrifft den Upgrade-Prozess und kann laut WordPress-Team während des Update-Zeitfensters zur Ausführung von Schadcode führen. Das Team empfiehlt, Websites sofort zu aktualisieren.
Nach Bericht von BleepingComputer vom 4. November 2026 hat die CISA am 3. November bestätigt, dass diese Lücke in Angriffen ausgenutzt wird. Gemeldet hat sie ein Forscher von Picus Security. Das Medium beschreibt die Angriffe als technisch anspruchsvoll: Der Angreifer braucht keinen Zugang zur Website, muss aber genau in dem kurzen Moment zuschlagen, in dem WordPress sich selbst aktualisiert. Das Sicherheitsunternehmen Wordfence meldet nach diesem Bericht rund 13.000 blockierte Angriffsversuche innerhalb von 24 Stunden.
Die Fristen der CISA gelten für US-Bundesbehörden und binden Unternehmen in Deutschland nicht. Die Behörde rät aber ausdrücklich auch Organisationen außerhalb des Bundes, die Korrektur vorzuziehen.
Was bedeutet das für Ihr Unternehmen?
Läuft Ihre Website mit WordPress, sollten Sie wissen, welche Version installiert ist. Für Websites mit aktivierten automatischen Updates liefert WordPress.org die Sicherheitsversion nach eigener Angabe von selbst aus. Die Korrekturen wurden außerdem für ältere Versionszweige zurückportiert, bis hinunter zu 4.7. Dieser Vorgang läuft laut WordPress.org noch. Ist Ihre Installation sehr alt, kann sich eine Nachlieferung verzögern oder ausbleiben.
Besonders betroffen sind Seiten, bei denen niemand regelmäßig nach Updates sieht. Das ist bei kleinen Betrieben häufig: Die Website wurde vor Jahren eingerichtet und läuft seitdem still vor sich hin.
Was sollten Sie jetzt tun?
- Version prüfen. Im WordPress-Dashboard sehen Sie unter Dashboard, Aktualisierungen, welche Version läuft und ob ein Update bereitsteht.
- Aktualisieren. Die Sicherheitsversion 7.1.4 oder die Korrektur für Ihren Versionszweig einspielen. Vorher eine Sicherung von Dateien und Datenbank anlegen.
- Hoster fragen, falls Sie selbst keinen Zugang zum Dashboard haben. Bei Managed Hosting übernimmt der Anbieter das häufig.
- Auf Auffälligkeiten achten: unbekannte Administratorkonten, fremde Dateien, plötzlich langsame Seiten oder Meldungen Ihres Hosters. Bei Verdacht den Hoster oder eine IT-Fachperson hinzuziehen.
- Plugins und Themes mitpflegen. Der Kern ist nur ein Teil der Angriffsfläche.
Wer eine Website hat, die niemand mehr pflegt, steht vor einer Grundsatzfrage: dauerhaft betreuen lassen oder neu aufsetzen. Beides ist legitim.
Was ist noch offen?
Uns liegen keine Angaben zu bestätigten Einbrüchen über diese Lücke vor; BleepingComputer nennt Angriffsversuche, keine nachgewiesenen Kompromittierungen. Ein Hinweis des Bundesamts für Sicherheit in der Informationstechnik (BSI) lag uns bei Redaktionsschluss nicht vor. Wie weit die Rückportierungen für ältere Versionszweige schon ausgeliefert sind, ändert sich laufend. Stand dieses Beitrags ist der 5. November 2026. Er ist eine allgemeine Information und keine individuelle IT-Sicherheitsberatung. Auch die Lücke im PHP-Kern vom Oktober ist ein eigenes Thema, dazu steht Näheres in unserem Beitrag zur PHP-Sicherheitslücke.
Wie unterstützt KSTAQ?
Bei KSTAQ in Dortmund halten wir Websites im Rahmen der Betreuung aktuell und prüfen, auf welcher Technik sie laufen. Ist Ihre WordPress-Seite ohnehin in die Jahre gekommen, kann ein neuer Webauftritt die sinnvollere Lösung sein. Schreiben Sie uns kurz, was Sie einsetzen, dann sagen wir Ihnen, was zu tun ist.