WordPress Version 7.1.1: Sicherheitsupdate, bitte heute prüfen

Seit dem 17. September 2026 ist eine Sicherheitslücke in WordPress selbst bekannt, diesmal also nicht in einem Plugin. Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten. Betroffen sind alle Versionen bis Version 7.1, diese eingeschlossen, sicher bist du ab Version 7.1.1.

Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.

Was ist passiert

Die Lücke sitzt im Kommentarbereich. Stell dir den wie einen Briefkasten an deiner Haustür vor. Normalerweise landet darin nur Text, hier kann jemand einen Zettel einwerfen, der beim Anzeigen eigenen Code ausführt.

Dafür braucht der Angreifer keinen Login. Deine Seite muss nur online sein und Kommentare annehmen. Damit kann er Besucher auf fremde Seiten umleiten oder mitlesen, was du als eingeloggter Admin gerade machst. Je nach Einstellung muss so ein Kommentar erst durch deine Freigabe, das bremst einen Angriff, verhindert ihn aber nicht.

Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.

Kein Grund zur Panik, aber ein guter Grund, das heute zu erledigen. Ein Core-Update ist ein Klacks, danach ist die Tür zu.

Was du jetzt tun solltest

1. Geh in dein WordPress-Dashboard und dort auf Aktualisierungen
2. Schau, welche WordPress-Version dort steht
3. Aktualisiere auf Version 7.1.1 oder höher (Anleitung: WordPress updaten)
4. Klicke danach einmal durch deine Seite, fertig

Mach das heute, nicht irgendwann diese Woche. Und verlasse dich nicht auf die automatischen Updates, die greifen nicht bei jedem Hosting-Setup zuverlässig, prüfe es also nach.

Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten, fremde Dateien oder seltsame Kommentare, melde dich bei mir.

Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.

Gerade Core-Updates schieben viele vor sich her, weil beim letzten Mal irgendwas am Layout verrutscht ist oder ein Plugin gestreikt hat. Verständlich. Ich spiele WordPress Version 7.1.1 deshalb zuerst auf einer Staging Site ein, klicke die Seite durch und bringe sie erst dann auf die echte Website, mit Backup davor. Wenn du diesen Umweg nicht jedes Mal selbst gehen möchtest, ist er Teil meiner WordPress Wartung.

Quelle: Wordfence, CVE-2026-93485