WordPress Version 7.1.2: Sicherheitsupdate, bitte heute prüfen

Seit dem 22. September 2026 ist eine Sicherheitslücke in WordPress selbst bekannt, diesmal also nicht in einem Plugin, sondern im Kern deiner Website.

Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.

Betroffen sind alle Versionen bis Version 7.1.1. Die gute Nachricht: Version 7.1.2 ist seit gestern da und schließt die Lücke.

Ninja Risiko-Score: 8 von 10. Das heißt: heute updaten.

Was ist passiert

WordPress baut aus der Adresse, die jemand im Browser eingibt, den Namen einer Theme-Datei zusammen. Bisher hat WordPress nicht geprüft, ob die Datei am Ende wirklich im Theme-Ordner liegt. Mit einer präparierten Adresse konnte jemand deine Website also dazu bringen, eine ganz andere Datei vom Server zu laden und auszuführen, ungefähr so, als würdest du im Hotel nach deinem Zimmer fragen und stattdessen in den Heizungskeller geführt. Im ungünstigsten Fall führt deine Seite dadurch fremden Code aus.

Einen Login braucht ein Angreifer dafür nicht, deine Seite muss nur online sein. Es müssen allerdings zwei Dinge zusammenkommen. Dein aktives Theme muss einen Ordner haben, dessen Name mit „page-“ beginnt, das ist bei einigen verbreiteten Themes der Fall, und auf dem Server muss eine passende lesbare PHP-Datei liegen. Einen öffentlichen Angriff kenne ich noch nicht, aber die Lücke ist bekannt, und damit fangen die Scans an.

Klingt schlimm, ist in fünf Minuten erledigt. Ein Update im Dashboard, und die Tür ist zu.

Was du jetzt tun solltest

1. Geh in dein WordPress-Dashboard und dort auf Aktualisierungen
2. Schau nach, welche WordPress-Version bei dir läuft
3. Aktualisiere auf WordPress Version 7.1.2 oder höher (Anleitung: WordPress updaten)
4. Fertig

Mach das heute, nicht erst am Wochenende. Und verlasse dich nicht auf die automatischen Updates, die greifen nicht bei jedem Hosting-Setup zuverlässig. Bei der Core-Lücke im Juli hatte ich zwei Kundenseiten, bei denen das automatische Update einfach nicht angekommen ist. Prüfe es also nach.

Ein Update repariert nicht rückwirkend, was vorher schon passiert sein könnte. Wenn dir danach etwas komisch vorkommt, unbekannte Admin-Konten oder fremde Dateien, melde dich bei mir.

Sicher updaten: Erstelle vor dem Update ein Backup und klicke danach einmal durch deine Seite. Wenn du dich beim Updaten unsicher fühlst, teste es zuerst auf einer Staging Site. Anleitungen: Backup erstellen, Plugins aktualisieren, Theme aktualisieren, WordPress updaten. Wenn ein Update schiefgeht: so bekommst du es wieder hin.

Core-Updates wie dieses spiele ich für meine Wartungskunden ein und prüfe danach nach, ob sie wirklich auf jeder Seite angekommen sind. In all den Jahren ist noch keine einzige von mir betreute Website gehackt worden. Wenn du möchtest, dass deine Seite erreichbar und sicher bleibt, und du dich lieber um dein Business kümmerst als um Versionsnummern, schau dir meine WordPress Wartung an.

Quelle: Wordfence, CVE-2026-87902