WordPress-Sicherheitslücke CVE-2026-119977: Core-Update wird aktiv angegriffen

Kurzfassung

Die WordPress-Sicherheitslücke CVE-2026-119977 betrifft den Update-Mechanismus des WordPress-Cores in den Versionen 4.7 bis 7.1.3. Während eines laufenden Core-Updates kann ein unauthentifizierter Angreifer unter bestimmten Bedingungen Code auf dem Server ausführen (CVSS 8,1, Race Condition). Die US-Behörde CISA hat die Lücke am 3. November 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen (KEV) aufgenommen. Behoben ist sie in WordPress 7.1.4 vom 28. Oktober 2026 sowie in Backports für ältere Branches (zum Beispiel 7.0.8 und 6.9.11). Aktualisieren Sie Ihre Website umgehend und prüfen Sie, ob sie bereits Auffälligkeiten zeigt.

Was ist passiert?

Am 28. Oktober 2026 veröffentlichte das WordPress-Projekt Version 7.1.4. Das Release schließt laut WordPress.org 22 Sicherheitslücken, darunter mehrere Cross-Site-Scripting-Fehler, Denial-of-Service-Probleme in der Interactivity API und eine Race Condition beim Core-Update.

Letztere ist die kritischste: Nach Angaben von Wordfence entpackte WordPress bei vollständigen Core-Updates die neuen Dateien in einen vorhersagbaren, über das Web erreichbaren Ordner unter wp-content/upgrade/. Die dort abgelegte Kopie enthält auch Installer-Dateien. Ein Angreifer kann versuchen, genau in dem kurzen Zeitfenster des Updates darauf zuzugreifen und so Code auszuführen. In Laborumgebungen dauert dieses Fenster laut Wordfence nur Sekunden.

Kurz nach der Veröffentlichung des Patches begannen laut Wordfence Angriffsversuche. Die Zahlen unterscheiden sich je nach Quelle und Zeitraum (siehe „Offene Punkte“). Am 3. November nahm die CISA die Lücke in den KEV-Katalog auf; Bundesbehörden der USA müssen sie bis zum 6. November beheben.

Überblick: CVE-2026-119977 im Detail

Sind WordPress-Websites betroffen?

Ja, grundsätzlich jede WordPress-Installation mit einer Core-Version von 4.7 bis 7.1.3 ist betroffen. Das Risiko besteht jedoch nicht dauerhaft, sondern nur im Zeitfenster eines laufenden vollständigen Core-Updates. Genau dieses Fenster nutzen die Angreifer: Sie fragen Installer-Pfade wie setup-config.php wiederholt ab, um ein Update abzupassen.

Auch Websites mit automatischen Hintergrund-Updates sind nicht grundsätzlich sicher: Läuft ein automatisches Update mit einer verwundbaren Version, kann das Fenster genau dann entstehen. Installationen, die bereits auf 7.1.4 oder einen gepatchten Branch aktualisiert wurden, sind gegen diese Lücke abgesichert. Laut Berichten nutzt der Fix einen zufälligen Ordnernamen für das Staging-Verzeichnis und sperrt das Verzeichnislisting.

Zeitlicher Ablauf

• 28. Oktober 2026: WordPress 7.1.4 und Backports erscheinen.
• 30. Oktober 2026: Wordfence meldet erste Angriffe; The Hacker News berichtet über knapp 63.000 blockierte Versuche in 24 Stunden.
• 31. Oktober 2026: Der CVE-Eintrag wird veröffentlicht (laut Safeguard).
• 3. November 2026: Die CISA nimmt CVE-2026-119977 in den KEV-Katalog auf.
• 6. November 2026: KEV-Frist für US-Bundesbehörden.

Was Sie jetzt tun sollten

1. WordPress-Version prüfen

Öffnen Sie im WordPress-Dashboard „Dashboard → Aktualisierungen“ oder werfen Sie einen Blick in die Fußzeile des Backends. Liegt Ihre Version unter 7.1.4 (bzw. unter dem Fix Ihres Branches, etwa 6.9.11), besteht Handlungsbedarf. Prüfen Sie auch Staging- und Testumgebungen sowie Container-Setups.

2. Auf 7.1.4 oder den gepatchten Branch aktualisieren

Erstellen Sie vorab ein Backup und aktualisieren Sie dann auf WordPress 7.1.4. Ist ein Wechsel auf die neueste Version nicht sofort möglich, installieren Sie den Backport Ihres Branches. Version 4.6 und älter erhält keine Sicherheitsupdates mehr und sollte so schnell wie möglich migriert werden.

3. Übergangsmaßnahmen

Bis zum Update kann es sinnvoll sein, den Webzugriff auf wp-content/upgrade/ per Serverregel zu sperren; diesen Hinweis gibt der Anbieter Safeguard, er ist keine offizielle Empfehlung des WordPress-Projekts. Vermeiden Sie bis dahin manuell ausgelöste Core-Updates auf verwundbaren Versionen. Eine Web Application Firewall mit aktuellen Regeln kann zusätzlich helfen.

4. Auf Kompromittierung prüfen

Gerade weil die Lücke aktiv ausgenutzt wird, sollten Sie nach dem Update prüfen:

• unbekannte Administratorkonten, Plugins oder PHP-Dateien,
• verdächtige Zugriffe auf PHP-Dateien unter wp-content/upgrade/ und auf setup-config.php in den Webserver-Logs,
• Änderungen an wp-config.php, Cron-Events und dem Verzeichnis mu-plugins,
• Abweichungen der Core-Dateien von den offiziellen Prüfsummen.

Finden Sie Hinweise auf eine Kompromittierung, nehmen Sie die Website vom Netz, rotieren Sie Zugangsdaten und Salts und setzen Sie die Installation aus bekannten, sauberen Quellen neu auf.

Offene Punkte und Unsicherheiten

• Angriffszahlen: The Hacker News nannte am 30. Oktober 62.969 blockierte Versuche in 24 Stunden, am 4. November dagegen 12.632 blockierte Angriffe in 24 Stunden und über 18.500 Anfragen in den ersten 21 Stunden. Die Zahlen stammen von Wordfence, beziehen sich auf unterschiedliche Zeiträume und wurden nicht unabhängig geprüft.
• CVE-Zuordnung: Frühe Berichte (30. Oktober, 1. November) nannten noch keine CVE-Nummer; die Zuordnung CVE-2026-119977 stammt aus späteren Quellen und der KEV-Aufnahme.
• Betroffene Versionen: Die Angaben „4.7 bis 7.1.3“ stammen aus Medienberichten; die exakten Zuordnungen je Branch finden Sie in den WordPress-Release-Hinweisen.
• Erfolgreiche Angriffe: Öffentliche Kompromittierungsindikatoren (IOCs) waren laut Safeguard zuletzt nicht bekannt; wie viele Websites tatsächlich kompromittiert wurden, ist nicht belegt.

Häufige Fragen (FAQ)

Fazit

Die Lücke CVE-2026-119977 zeigt, dass auch der Update-Vorgang selbst ein Angriffsziel sein kann. Wer WordPress 7.1.4 oder den passenden Backport einspielt, ist abgesichert; wer noch nicht aktualisiert hat, sollte es heute tun. Wenn Sie Updates, Wartung und Sicherheitschecks lieber in professionelle Hände geben möchten, unterstützen wir Sie gern: Kontaktieren Sie uns.

Quellen

• WordPress.org: Version 7.1.4
• The Hacker News: WordPress RCE Flaw Draws Nearly 63,000 Attacks (30.10.2026)
• The Hacker News: CISA Confirms Hackers Exploiting WordPress Core Flaw (04.11.2026)
• it-daily.net: WordPress 7.1.4 – Lücke im Update-Prozess wird angegriffen
• Safeguard: CVE-2026-119977 WordPress Core KEV (Anbieterblog)

Stand: 4. November 2026