WordPress 7.1.4: Sicherheitsupdate gegen XSS und RCE
WordPress 7.1.4 vom 28. Oktober 2026 ist ein reines Sicherheitsupdate. Es behebt zahlreiche Stored-XSS-Lücken, eine Race Condition bei Core-Updates mit möglicher RCE und ein Informationsleck im Customizer. Backports bis 4.7 folgen schrittweise.
Das WordPress-Projekt hat am 28. Oktober 2026 die Version 7.1.4 veröffentlicht. Es handelt sich um ein reines Sicherheitsupdate, das zahlreiche Lücken schließt: vor allem gespeicherte Cross-Site-Scripting-Lücken (Stored XSS), eine Race Condition bei Core-Updates mit möglicher Codeausführung und ein Informationsleck im Customizer. Das Projekt empfiehlt, Websites sofort zu aktualisieren.
Betroffen sind alle Websites mit WordPress vor 7.1.4. Seiten mit aktivierten automatischen Hintergrund-Updates erhalten die Version selbstständig, das sollten Admins dennoch kontrollieren. Wer Updates manuell oder per Deployment einspielt, sollte das heute erledigen und nicht auf das nächste Wartungsfenster warten. Für ältere Zweige bis 4.7 werden die Fixes laut WordPress zurückportiert, diese Backports erscheinen aber erst nach und nach.
Was ist passiert?
Laut Ankündigung und HelpHub-Seite behebt 7.1.4 unter anderem folgende Probleme:
- eine Race Condition während Core-Updates, die zu Remote Code Execution im Update-Zeitfenster führen kann
- ein Informationsleck, über das nicht angemeldete Besucher unveröffentlichte Customizer-Änderungen einsehen können
- mehrere Stored-XSS-Lücken in der Interactivity API, die bereits mit Rechten ab der Rolle Mitarbeiter (Contributor) ausnutzbar sind, dazu ein gespeicherter Denial of Service
- Stored XSS über präpariertes Block-Markup, im Customizer Selective Refresh, im Kategorien-Block sowie in den Blöcken für Kommentar-Paginierung und Beitragsnavigation
- eine Stored-XSS-Lücke ab Redakteursrechten in der Ansicht für Datenlöschanfragen
- ein Rechteproblem, durch das Rollen mit Kommentarmoderation Notizen an fremden Beiträgen lesen, bearbeiten und löschen konnten
- eine Härtung für nicht maskierte Benutzernamen in der Multisite-Netzwerkverwaltung
Außerdem aktualisiert 7.1.4 die mitgelieferten Root-Zertifikate wegen des Widerrufs bei der Zertifizierungsstelle eMudhra. Geleitet wurde das Release von Aaron Jorbin und Nik Tsekouras. Parallel erschien WordPress 7.2 Beta 3 mit allen passenden Fixes. Die Hauptversion 7.2 ist für den 8. Dezember geplant.
Wer ist betroffen?
Alle Installationen vor 7.1.4. Besonders relevant ist das Update für Websites mit mehreren Redakteuren, Gastautoren oder offenen Registrierungen, denn viele der XSS-Lücken setzen ein Konto mit Mitarbeiter-, Autoren- oder Redakteursrechten voraus. Das Customizer-Leck betrifft dagegen auch Seiten ohne weitere Nutzer, weil es ohne Anmeldung greift. Multisite-Netzwerke profitieren zusätzlich von der Härtung der Netzwerkverwaltung.
Wie kritisch ist das?
CVE-Nummern oder CVSS-Werte nennt WordPress nicht. Hinweise auf aktive Angriffe gibt es in den Quellen nicht. Die meisten Lücken erfordern ein Konto, gespeichertes XSS kann aber genutzt werden, um Sitzungen von Admins zu übernehmen. Die Race Condition bei Core-Updates ist die auffälligste Lücke, da sie im Update-Zeitfenster zu Codeausführung führen kann. Insgesamt ein klassisches Pflichtupdate.
Was sollten Admins jetzt tun?
- Version aller Installationen prüfen, etwa per wp core version oder im Dashboard unter Aktualisierungen.
- Vor dem Update ein aktuelles Backup von Dateien und Datenbank sicherstellen.
- Auf 7.1.4 aktualisieren, per Dashboard oder wp core update, und anschließend die Prüfsummen mit wp core verify-checksums kontrollieren.
- Bei Installationen auf älteren Zweigen auf die angekündigten Backports achten und mittelfristig auf den aktuellen Zweig wechseln, da nur die neueste Version aktiv unterstützt wird.
- Konten mit Mitarbeiter- und Autorenrechten überprüfen und nicht mehr benötigte Zugänge entfernen.
Einordnung für Unternehmen
Nach WordPress 7.1.3 Anfang Oktober ist 7.1.4 bereits das zweite Sicherheitsupdate des Monats. Unternehmen mit mehreren WordPress-Seiten sollten automatische Minor-Updates aktiviert lassen und deren Erfolg überwachen, statt jede Version manuell nachzuziehen. Der Zertifikatswechsel wegen eMudhra zeigt zudem, dass Core-Updates auch die Vertrauensbasis für ausgehende HTTPS-Verbindungen betreffen. Hintergrund dazu liefert unser Bericht zum kompromittierten eMudhra-Schlüssel.
Passende Anleitungen auf S-EDV
- WordPress-Core-Updates sicher einspielen
- Automatische Updates in WordPress steuern
- Datei-Integrität mit wp core verify-checksums prüfen
