WordPress 7.1.4 Sicherheitsupdate: Kritische Lücke ermöglicht Remote Code Execution

Kritische Sicherheitslücke im Update-Mechanismus

Das WordPress-Sicherheitsteam hat mit Version 7.1.4 insgesamt 22 Sicherheitslücken geschlossen, doch eine davon ragt in ihrer Kritikalität heraus: Eine sogenannte Race Condition im Kern-Updater des Content-Management-Systems ermöglicht potenziellen Angreifern die Fernausführung von Schadcode – und das ohne vorherige Anmeldung oder Authentifizierung.

Die von Sicherheitsforscher Umut Bayram entdeckte Schwachstelle nutzt ein zeitlich begrenztes Fenster während des Update-Prozesses aus. In diesem kritischen Moment wird die neue WordPress-Version in das Verzeichnis wp-content/upgrade/ entpackt. Das Problem: Durch eine unzureichende Absicherung dieses temporären Arbeitsverzeichnisses war es technisch möglich, während des Updates bösartigen Code einzuschleusen.

Technische Details der Schwachstelle

Der Angriff funktioniert wie folgt: Während des Core-Updates entpackt WordPress die neue Version in ein vorhersagbar benanntes Unterverzeichnis von wp-content/upgrade/. In älteren Versionen wurde die schützende index.php-Datei während des Aufräumens versehentlich entfernt, was Directory Listing ermöglichte. Schwerwiegender noch: Die wp-config.php-Datei wurde aus dem Arbeitsverzeichnis kopiert.

Ein Angreifer, der das exakte Zeitfenster des Updates trifft – typischerweise nur wenige Sekunden – könnte eine manipulierte wp-config.php in den entpackten Ordner schreiben. Diese Datei würde dann automatisch in das Live-Verzeichnis der Website übernommen und dort ausgeführt werden, was vollständige Kontrolle über die WordPress-Installation bedeutet.

Die Lösung: Dreistufiger Schutz

WordPress hat die Schwachstelle mit einem dreistufigen Sicherheitskonzept behoben:

1. Zufällige Ordnernamen: Das temporäre Update-Verzeichnis wird nun mit 16 zufällig generierten Zeichen am Ende benannt, was eine Vorhersage praktisch unmöglich macht.

1. Dauerhafte Schutzfunktion: Die index.php-Datei verbleibt während des gesamten Update-Prozesses in wp-content/upgrade/ und verhindert Directory Listing.

1. Keine Konfigurationskopie: Die wp-config.php wird nicht mehr aus dem Arbeitsverzeichnis kopiert, was den Angriffsvektor vollständig eliminiert.

Weitere Sicherheitslücken im Überblick

Neben der kritischen Remote-Code-Execution-Schwachstelle wurden 21 weitere Sicherheitslücken geschlossen:

• Über 10 Stored-XSS-Schwachstellen: Diese Cross-Site-Scripting-Lücken ermöglichen das Einschleusen bösartiger Skripte, die dauerhaft in der Datenbank gespeichert werden. Die meisten erfordern Berechtigungen auf Mitwirkenden-Ebene, einige jedoch auch niedrigere Rechte.

• 7 Sicherheitslücken in der Interactivity API: Die noch relativ neue Programmierschnittstelle für interaktive Blöcke wies mehrere Schwachstellen auf.

• XSS im Customizer, Block-Editor und Datenlöschungs-Bildschirm: Mehrere Bereiche der WordPress-Verwaltung waren anfällig für Script-Injection.

• Offenlegung unveröffentlichter Customizer-Änderungen: Nicht angemeldete Besucher konnten unter bestimmten Umständen Entwürfe von Design-Änderungen einsehen.

• Fehlerhafte Berechtigungen bei benutzerdefinierten Rollen: Nutzer mit angepassten Berechtigungen erhielten möglicherweise unbeabsichtigten Zugriff auf Kommentar-Notizen.

Betroffene Versionen und verfügbare Updates

WordPress hat Sicherheitsupdates für alle aktiv unterstützten Versionen bereitgestellt:

Bisherige Version
Neue Sicherheitsversion
Status

WordPress 7.1.x
WordPress 7.1.4
✓ Update verfügbar

WordPress 7.0.x
WordPress 7.0.8
✓ Update verfügbar

WordPress 6.9.x
WordPress 6.9.11
✓ Update verfügbar

WordPress 6.8.x
WordPress 6.8.12
✓ Update verfügbar

WordPress 6.5 und älter
—
⚠ KEIN PATCH – Migration erforderlich!

Wichtiger Hinweis: Für WordPress-Installationen der Version 6.5 und älter wird kein Sicherheitsupdate bereitgestellt. Betreiber dieser Versionen müssen zwingend auf eine neuere Hauptversion migrieren, um geschützt zu sein.

Handlungsempfehlungen für WordPress-Administratoren

1. Sofortige Sicherung erstellen

Bevor Sie das Update durchführen, erstellen Sie unbedingt eine vollständige Sicherung Ihrer WordPress-Installation:

• Komplettsicherung aller Dateien (insbesondere wp-content/)

• Vollständiger Export der Datenbank

• Sicherung der wp-config.php und .htaccess

• Dokumentation installierter Erweiterungen und Themes

2. Update durchführen

Das Sicherheitsupdate kann auf mehreren Wegen installiert werden:

• Automatisches Update: WordPress installiert Sicherheitsupdates in der Regel automatisch. Prüfen Sie unter Dashboard → Aktualisierungen, ob dies bereits erfolgt ist.

• Manuelles Update über das Dashboard: Navigieren Sie zu Dashboard → Aktualisierungen und klicken Sie auf "Jetzt aktualisieren".

• Update über WP-CLI: Für technisch versierte Nutzer: wp core update im Terminal ausführen.

3. Überprüfung nach dem Update

Nach erfolgreicher Installation sollten Sie folgende Prüfungen durchführen:

1. Bestätigen Sie die installierte Version unter Dashboard → Aktualisierungen

1. Testen Sie alle wesentlichen Funktionen Ihrer Website (Formulare, Shop, Mitgliederbereiche)

1. Überprüfen Sie die Fehlerprotokolle auf unerwartete Meldungen

1. Stellen Sie sicher, dass alle Erweiterungen und Themes kompatibel sind

1. Testen Sie die Website auf verschiedenen Geräten und Browsern

4. Zusätzliche Sicherheitsmaßnahmen

Nutzen Sie die Gelegenheit, Ihre WordPress-Sicherheit umfassend zu überprüfen:

• Aktualisieren Sie alle installierten Erweiterungen und Themes auf die neueste Version

• Überprüfen Sie Nutzerkonten und entfernen Sie ungenutzte oder verdächtige Zugänge

• Implementieren Sie Zwei-Faktor-Authentifizierung für Administratoren

• Erwägen Sie die Installation einer Sicherheits-Erweiterung mit Firewall-Funktion

• Richten Sie regelmäßige automatische Sicherungen ein

Fazit: Keine Zeit zum Zögern

Das WordPress 7.1.4 Sicherheitsupdate ist kein gewöhnliches Wartungs-Release – es schließt eine kritische Schwachstelle, die Angreifern theoretisch vollständige Kontrolle über WordPress-Installationen ermöglichen könnte. Auch wenn die praktische Ausnutzung aufgrund des engen Zeitfensters anspruchsvoll ist, besteht ein reales Risiko, insbesondere für hochfrequentierte Websites oder solche mit automatisierten Update-Zeitplänen.

Die Tatsache, dass keine Authentifizierung für die Ausnutzung erforderlich ist, unterstreicht die Dringlichkeit. Hinzu kommen über 20 weitere Sicherheitslücken, darunter mehrere Cross-Site-Scripting-Schwachstellen, die das Gesamtrisiko deutlich erhöhen.

WordPress-Administratoren sollten umgehend handeln: Sicherung erstellen, Update durchführen, Funktionalität testen. Für Installationen auf Version 6.5 oder älter besteht kein anderer Weg als die Migration auf eine unterstützte Version – ein Aufwand, der angesichts der Sicherheitsrisiken unumgänglich ist.

Die Veröffentlichung dieses umfangreichen Sicherheitsupdates zeigt einmal mehr, wie wichtig kontinuierliche Wartung und zeitnahe Updates für die Sicherheit von Webanwendungen sind. Wer WordPress betreibt, trägt Verantwortung – nicht nur für die eigene Installation, sondern auch für die Daten der Nutzer und Besucher.