WordPress CVE-2026-119977: CISA bestätigt Angriffe auf das Update-Fenster
CISA hat die WordPress-Lücke CVE-2026-119977 am 3. November 2026 in den Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Betroffen sind WordPress 4.7.0 bis 7.1.3, korrigiert sind 7.1.4 und Backports bis 4.7.39. Admins sollten Versionen prüfen, das Upgrade-Verzeichnis absichern und Logs kontrollieren.
Die US-Cybersicherheitsbehörde CISA hat die WordPress-Lücke CVE-2026-119977 am 3. November 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen. Damit gilt die Ausnutzung der Race Condition im Core-Update als bestätigt. Bis dahin waren nur Angriffsversuche belegt. US-Bundesbehörden müssen bis zum 6. November reagieren.
Betroffen sind WordPress 4.7.0 bis 7.1.3. Geschützt ist, wer WordPress 7.1.4 oder den passenden Backport für einen älteren Zweig installiert hat. Weil Angreifer laut Wordfence massenhaft nach den Staging-Pfaden eines laufenden Core-Updates suchen, sollten Betreiber noch ungepatchter Seiten sofort handeln und dabei das Update selbst absichern.
Was ist passiert?
Laut KEV-Eintrag enthält WordPress Core eine Time-of-check-Time-of-use-Schwachstelle (CWE-367), über die nicht angemeldete Angreifer während des Update-Fensters Code auf dem Server ausführen können. Ursache sind vorhersagbare, per Web erreichbare Staging-Pfade bei Updates mit vollständigem Core-Paket. Das WordPress-Sicherheitsteam hatte die Lücke am 28. Oktober mit WordPress 7.1.4 geschlossen und sie als Schwäche im Update-Prozess beschrieben, die während des Update-Fensters zu Remotecodeausführung führen kann. Gemeldet hat sie Umut Bayram von Picus Security.
Wie die Angriffe konkret ablaufen, beschreibt CISA nicht. Der KEV-Eintrag verlangt von Bundesbehörden neben den Herstellerkorrekturen auch eine forensische Prüfung. Wordfence meldet nach eigenen Angaben laufend mehr als 12.000 blockierte Angriffe auf diese Lücke binnen 24 Stunden. Ob Ransomware-Gruppen die Lücke nutzen, ist laut CISA unbekannt.
Wer ist betroffen?
Verwundbar sind laut Wordfence alle ungepatchten Stände von 4.7.0 bis 7.1.3, also in jedem Zweig die Versionen vor dem jeweiligen Backport. Korrigiert sind laut Wordfence-Eintrag 7.1.4 und die Backports 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11 und weitere Stände bis hinunter zu 4.7.39. Ausnutzbar ist die Lücke nur während eines Updates mit vollständigem Core-Paket. Dabei legen betroffene Versionen Dateien unter vorhersagbaren, per Web erreichbaren Pfaden ab. Seiten, die bereits auf einem korrigierten Stand laufen, sind nicht betroffen.
Wie kritisch ist das?
Wordfence bewertet die Lücke mit CVSS 8.1, die Angriffskomplexität gilt als hoch, das Zeitfenster während des Updates ist kurz. Mit der Aufnahme in den KEV-Katalog stuft CISA die Lücke dennoch als aktiv ausgenutzt ein. Wie oft Angreifer das Zeitfenster tatsächlich treffen, hat die Behörde nicht mitgeteilt. Gefährlich ist die Lage für Seiten, die noch nicht aktualisiert sind: Das nächste Core-Update öffnet genau dieses Fenster.
Was sollten Admins jetzt tun?
- Inventar: Versionsstand aller WordPress-Installationen prüfen, zum Beispiel mit
wp core version, auch Staging- und Altinstallationen. - Update: auf 7.1.4 oder den passenden Backport bringen. Ob automatische Hintergrund-Updates tatsächlich gelaufen sind, gezielt kontrollieren.
- Absichern: Weil der Angriff über öffentlich erreichbare Staging-Pfade läuft, liegt es nahe, den Webzugriff auf
/wp-content/upgrade/vor dem Update am Webserver oder in einer vorgelagerten WAF zu sperren. Das ist eine Härtung, kein Ersatz für das Update. - Kompromittierung erkennen: Zugriffslogs auf Anfragen nach PHP-Dateien unter
wp-content/upgrade, dem Arbeitsverzeichnis des Core-Updates, durchsuchen. Laut Wordfence zielten Angreifer auf bereitgestelltesetup-config.php-Pfade. Danach auf unbekannte Administratorkonten, neue Plugins und fremde PHP-Dateien prüfen. - Bei Treffern: Seite isolieren, aus einem Backup vor dem Angriff wiederherstellen, alle Passwörter und die Schlüssel in
wp-config.phperneuern.
Einordnung für Unternehmen
Der KEV-Eintrag verpflichtet nur US-Bundesbehörden, CISA rät aber allen Organisationen, solche Lücken vorrangig zu schließen. Für Agenturen und Firmen mit vielen WordPress-Seiten ist der Fall ein Grund, Updates nicht nur zu automatisieren, sondern ihren Erfolg zu überwachen. Eine zentrale Sperre des Upgrade-Verzeichnisses auf Server-Ebene wirkt über alle Installationen hinweg.
In eigener Sache
Wer Updates, Backups und Firewall seiner WordPress-Seite nicht selbst im Blick behalten will, findet bei S-EDV eine laufende WordPress-Wartung, die neue Sicherheitsupdates innerhalb von 48 Stunden einspielt.
Passende Anleitungen auf S-EDV
- WordPress-Lücke CVE-2026-119977: Angreifer lauern auf Updates
- WordPress-Logs auswerten: Zugriffe, Fehler und Angriffe erkennen
