WordPress 7.1.4: Sicherheitsupdate behebt mehrere Schwachstellen
Das WordPress-Team hat am 28. Oktober 2026 WordPress 7.1.4 veröffentlicht. Das Sicherheitsrelease behebt eine Schwachstelle im Aktualisierungsprozess, die zu Remote Code Execution führen kann, mehrere Stored-XSS-Probleme und ein gespeichertes Denial-of-Service-Problem. Laut WordPress sollten Websites umgehend aktualisiert werden.
Quelle: offizielle Veröffentlichungsmitteilung von WordPress.org.
ÜBERBLICK
Das Wichtigste zu WordPress 7.1.4
WordPress empfiehlt, die eigenen Websites umgehend zu aktualisieren. Das Update lässt sich im Dashboard unter „Aktualisierungen“ installieren, und Installationen mit aktivierten automatischen Hintergrundupdates erhalten es von selbst. Die vollständige Liste der Korrekturen steht in der offiziellen Veröffentlichungsmitteilung.
- Version: WordPress 7.1.4, veröffentlicht am 28. Oktober 2026
- Typ: Sicherheitsrelease mit kurzem Zyklus, kein Funktionsupdate
- Empfehlung des WordPress-Teams: sofort aktualisieren
- Nächste Hauptversion: WordPress 7.2, derzeit für den 8. Dezember geplant
KORREKTUREN
Welche Sicherheitsprobleme behebt das Update?
Die Mitteilung nennt mehrere unterschiedliche Schwachstellen. Besonders relevant sind Probleme, die unter bestimmten Voraussetzungen Codeausführung ermöglichen, Inhalte manipulieren oder nicht veröffentlichte Informationen offenlegen.
Remote Code Execution im Upgrade-Fenster
Laut Mitteilung kann eine Schwachstelle im Aktualisierungsprozess während des Upgrade-Fensters zu Remote Code Execution führen. Gemeldet hat sie Umut Bayram. Remote Code Execution (RCE) bedeutet, dass sich Code auf einem Zielsystem ausführen lässt. Wie schwer das im Einzelfall wiegt, hängt von den Voraussetzungen für die Ausnutzung und von den Rechten des betroffenen Prozesses ab.
Der offizielle Hinweis beschreibt die Schwachstelle, liefert aber keine vollständige technische Analyse. Daraus lässt sich nicht ableiten, dass jede Installation gleichermaßen angreifbar ist. Einen Grund, mit dem Update zu warten, gibt es trotzdem nicht.
Mehrere Stored-XSS-Schwachstellen
Bei Stored Cross-Site Scripting (Stored XSS) werden manipulierte Inhalte gespeichert und später auf der Website verarbeitet oder angezeigt. Sichert die Anwendung sie nicht ausreichend ab, kann eingeschleuster JavaScript-Code im Kontext der Website laufen. Die Folgen hängen von der einzelnen Lücke und den Rechten der betroffenen Nutzer ab. Denkbar sind manipulierte Darstellungen, unerwünschte Aktionen im Browser oder Angriffe auf angemeldete Benutzer.
WordPress 7.1.4 korrigiert laut Mitteilung solche Probleme in diesen Bereichen:
- speziell präpariertes Block-Markup
- Datenschutzanfragen zur Entfernung personenbezogener Daten
- die Interactivity API
- die selektive Aktualisierung im Customizer
- der Kategorien-Block
- speziell präparierte Benutzernamen
- Playlist- und Bild-Blöcke
- die Blöcke für die Kommentarnavigation
Gespeichertes Denial of Service in der Interactivity API
Behoben ist außerdem ein gespeichertes Denial-of-Service-Problem (DoS) in der Interactivity API. Ein DoS zielt darauf, eine Anwendung zu beeinträchtigen, etwa durch erhöhte Auslastung oder eingeschränkte Verfügbarkeit einzelner Funktionen. Die Mitteilung nennt das Problem nur als gespeicherten DoS und macht keine weiteren Angaben zu den Ausnutzungsbedingungen.
Nicht veröffentlichte Customizer-Änderungen
Nicht veröffentlichte Änderungen im Customizer (Changesets) konnten laut WordPress auch von nicht angemeldeten Benutzern entdeckt werden. Das betrifft vor allem Websites, die dort Änderungen vorbereiten, die noch nicht öffentlich sein sollen. Ein Zugriff auf das Backend ist damit nicht gleichzusetzen, geplante Inhalte oder Designänderungen können aber sichtbar werden.
Notizen und Root-Zertifikate
Die Mitteilung nennt außerdem ein Berechtigungsproblem bei Notizen, die an Beiträge angehängt sind. Privilegierte Benutzer konnten sie lesen, obwohl ihnen die Berechtigung fehlte, den zugehörigen Beitrag zu bearbeiten. Zusätzlich hat WordPress die mitgelieferten Root-Zertifikate wegen des Widerrufs von eMudhra aktualisiert. Root-Zertifikate bilden die Vertrauenskette für bestimmte verschlüsselte Verbindungen.
Die vollständigen Details und die Liste der beteiligten Sicherheitsforscher stehen in der offiziellen Mitteilung.
CHECKLISTE
Was Administratoren jetzt tun sollten
Wichtigste Maßnahme ist das Update auf 7.1.4, sofern die Installation zum 7.1-Zweig gehört. Vor und nach der Aktualisierung lohnen sich ein paar Kontrollen.
Version prüfen
Im Backend zeigt „Dashboard, Aktualisierungen“ die installierte Version und ob 7.1.4 angeboten wird.
Wer einen anderen Versionszweig nutzt, prüft die dafür verfügbaren Sicherheitsupdates. WordPress hat die Korrekturen auf alle Zweige zurückportiert, die Sicherheitsfixes erhalten, derzeit bis 4.7. Die Backports sind noch in Arbeit und erscheinen, sobald sie fertig sind. Aktiv unterstützt wird laut WordPress nur die jeweils neueste Version.
Backup erstellen
Vor dem Update braucht es ein aktuelles Backup mit Datenbank, WordPress-Dateien, Upload-Verzeichnis, Themes, Plugins und Konfiguration, insbesondere wp-config.php.
Viele Hoster sichern automatisch. Prüfe, ob eine aktuelle Sicherung vorliegt und ob sich daraus wiederherstellen ließe. Bei produktiven Websites sollte der Restore regelmäßig getestet werden.
Update installieren
Im Dashboard unter Aktualisierungen auf „Jetzt aktualisieren“ klicken oder das Release von WordPress.org herunterladen.
Auch bei aktivierten Hintergrundupdates lohnt der Blick auf den tatsächlich installierten Versionsstand.
Website testen
Nach dem Update prüfen: Startseite und wichtige Unterseiten, Backend-Anmeldung, Bearbeitung von Beiträgen und Seiten, Formulare, Suche, WooCommerce und andere geschäftskritische Plugins, Caching- und Sicherheitsplugins sowie die Fehlerprotokolle von Webserver und WordPress.
Bei Problemen zuerst Fehlerprotokolle und Kompatibilität der Erweiterungen untersuchen. Ein erfolgreiches Core-Update sagt nichts darüber, ob jedes Drittanbieter-Plugin fehlerfrei läuft.
Plugins und Themes aktuell halten
Das Core-Update ersetzt keine Plugin- und Theme-Updates. Prüfe separat, ob für installierte Erweiterungen Sicherheitsupdates vorliegen, und entferne nicht mehr benötigte Plugins und Themes vollständig, statt sie deaktiviert auf dem Server liegen zu lassen.
AUTOMATISCH
Werden Websites automatisch aktualisiert?
WordPress unterstützt automatische Hintergrundupdates, und laut Mitteilung aktualisieren sich Websites, die das unterstützen, automatisch. Ob das bei einer konkreten Installation greift, hängt von Konfiguration und Voraussetzungen ab. Ob eine Website bereits geschützt ist, zeigt der Versionsstand im Dashboard oder in der Verwaltungsumgebung, die für die Installation vorgesehen ist. Wer mehrere Websites betreut, sollte sich eine zentrale Übersicht schaffen, damit keine Installation durchrutscht.
EINORDNUNG
Ist WordPress 7.1.4 ein Funktionsupdate?
Nein, 7.1.4 ist ein Sicherheitsrelease mit kurzem Zyklus. Die nächste Hauptversion WordPress 7.2 ist derzeit für den 8. Dezember geplant. Laut WordPress enthält bereits die Beta 3 von 7.2 alle zutreffenden Korrekturen.
Für Betreiber produktiver Websites heißt das: Sicherheitsupdates sollten zeitnah eingespielt werden, größere Funktionsupdates lassen sich vorher auf Kompatibilität und Änderungen im eigenen Betrieb prüfen.
FAZIT
7.1.4 zeitnah einspielen
WordPress 7.1.4 behebt mehrere sicherheitsrelevante Probleme. Dazu gehören die Schwachstelle im Aktualisierungsprozess, die unter bestimmten Voraussetzungen Remote Code Execution ermöglichen kann, mehrere Stored-XSS-Probleme und ein Denial-of-Service-Problem. Wer WordPress betreibt, prüft jetzt den installierten Versionsstand und spielt das Update ein. Ein Backup vorher, ein kurzer Funktionstest danach und die regelmäßige Kontrolle von Plugins und Themes gehören weiterhin zur Wartung.
Updates und Wartung für Ihre WordPress-Website?
Backups, Updates und Tests nehmen Zeit in Anspruch. Sprechen Sie uns an, wir kümmern uns um Betrieb und Absicherung.
