Betroffen sind WordPress-Versionen von 4.7 bis 7.1.3. WordPress hat die Lücke am 28. Oktober 2026 mit Version 7.1.4 geschlossen; für ältere Versionszweige ab 4.7 werden Sicherheitsupdates nachgereicht. Die US-Cybersicherheitsbehörde CISA führt die Lücke seit dem 3. November als aktiv ausgenutzt. Prüfen Sie jetzt Ihre Version, aktualisieren Sie und kontrollieren Sie danach kurz, ob alles sauber ist. WordPress 4.6 und älter erhält keine Updates mehr.
Was ist passiert?
Die Schwachstelle steckt nicht in einem Plugin, sondern im Kern von WordPress – genauer im Update-Vorgang. Während WordPress ein großes Update auspackt, liegen die neuen Dateien für wenige Sekunden in einem Zwischenordner der Website. Wer genau in diesem Moment die richtige Adresse aufruft, kann laut Sicherheitsforschern bis zur Ausführung eigenen Programmcodes auf dem Server gelangen. Eine Anmeldung ist dafür nicht nötig.
WordPress hat die Korrektur am 28. Oktober veröffentlicht und rät, sofort zu aktualisieren. Am 3. November hat die US-Behörde CISA die Lücke in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Der Sicherheitsanbieter Wordfence meldete tausende Angriffsversuche pro Tag: automatisierte Programme fragen den Zwischenordner über Stunden immer wieder ab und warten auf das nächste Update.
5. November 2026. Wir ergänzen ihn, sobald es neue Erkenntnisse gibt.
Welche Versionen sind betroffen?
| WordPress-Version | Status | Was tun? |
|---|---|---|
| 7.1.4 oder neuer | Sicher | Nur kurz nachkontrollieren (siehe unten) |
| 4.7 bis 7.1.3 | Betroffen | Sofort auf 7.1.4 oder das Sicherheitsupdate Ihres Versionszweigs aktualisieren |
| 4.6 und älter | Keine Updates mehr | Dringend auf eine aktuelle Version umsteigen oder die Website neu aufbauen |
WordPress liefert die Korrekturen für alle älteren Versionszweige ab 4.7 nach. Welches Update für Ihre Website gerade ansteht, zeigt der Bereich „Aktualisierungen“ in der Verwaltung.
Selbsttest in 3 Schritten
- Version ansehen: In der WordPress-Verwaltung unter Dashboard → Aktualisierungen. Dort steht die installierte Version und ob ein Update bereitliegt.
- Automatische Updates prüfen: Steht dort, dass Sicherheitsupdates automatisch installiert werden, hat WordPress das Update vermutlich schon eingespielt – aber verlassen Sie sich nicht darauf, sondern prüfen Sie die Versionsnummer. Bei manchen Websites sind automatische Updates von Agentur oder Entwickler abgeschaltet.
- Kein Zugang zur Verwaltung? Fragen Sie den, der die Website betreut, oder Ihren Hoster nach der WordPress-Version. Viele kleine Firmen wissen gar nicht, dass ihre Website mit WordPress läuft – auch das klärt eine kurze Nachfrage.
So aktualisieren Sie sicher
Das Besondere an dieser Lücke: Gefährlich ist genau der Moment des Updates. Fachleute empfehlen deshalb, vorher den Zwischenordner wp-content/upgrade/ von außen zu sperren (über die Server-Konfiguration bzw. die zentrale .htaccess, nicht über eine Datei im Ordner selbst, weil WordPress ihn beim Update leert).
- Vollständige Sicherung von Dateien und Datenbank anlegen – außerhalb des Servers speichern.
- Zwischenordner
wp-content/upgrade/für Aufrufe von außen sperren und prüfen, dass er „Zugriff verweigert“ meldet. - Update über Dashboard → Aktualisierungen → Jetzt aktualisieren einspielen.
- Danach die Kontrollen unten durchgehen. Die Sperre des Zwischenordners darf bestehen bleiben.
Nach dem Update: kurz nachsehen
- Benutzerliste: Gibt es Administratoren, die Sie nicht kennen?
- Kerndateien: Ihr Dienstleister kann mit WP-CLI prüfen, ob die WordPress-Dateien unverändert sind (
wp core verify-checksums). - Zwischenordner:
wp-content/upgrade/sollte leer sein. - Neue PHP-Dateien: Gibt es in
wp-contentPHP-Dateien, die seit dem 28. Oktober neu hinzugekommen sind und die niemand erklären kann? - Verhalten der Website: Ungewohnte Weiterleitungen, Spam-Seiten in der Google-Suche oder Warnungen im Browser sind Alarmzeichen.
Nichts löschen, sondern Zustand sichern (für die Spurensuche), Website aus einer sauberen Sicherung wiederherstellen und alle Passwörter ändern: Administratoren, Datenbank, Hosting- und FTP-Zugang. Bei Kundendaten an mögliche Meldepflichten nach DSGVO denken.
Shared Hosting, Plugins und Shops
Wer sich um WordPress-Updates kümmert, hängt vom Paket ab: Bei normalem Webhosting, etwa bei STRATO oder IONOS, ist es Sache des Website-Betreibers – die eingebauten automatischen Sicherheitsupdates von WordPress laufen dort oft trotzdem, sofern sie niemand abgeschaltet hat. Bei verwalteten WordPress-Paketen übernimmt das meist der Hoster. Plugins und Themes sind von dieser Lücke nicht betroffen, sollten aber im selben Zug aktualisiert werden. WooCommerce-Shops laufen auf WordPress und sind damit genauso betroffen. Und: Die PHP-Version des Servers ist ein eigenes Thema – siehe unseren Ratgeber PHP2Shell.
Zusammengefasst
Version prüfen, auf 7.1.4 oder das passende Sicherheitsupdate aktualisieren, danach Benutzer und Dateien kurz kontrollieren. Wer keine Zeit dafür hat oder unsicher ist, sollte die Wartung abgeben: Genau für solche Fälle gibt es unsere Website-Wartung – mit Updates, Sicherungen und Überwachung, damit Sie von der nächsten Lücke gar nichts mitbekommen.
So helfen wir
Schicken Sie uns die Adresse Ihrer Website per Formular, E-Mail oder WhatsApp. Wir sagen Ihnen kurz, ob WordPress im Einsatz ist und ob Handlungsbedarf besteht. Auf Wunsch übernehmen wir das sichere Update und die Kontrolle danach – komplett per Fernzugriff, für Betriebe im Main-Kinzig-Kreis und deutschlandweit.
