WordPress 7.1.1 behebt elf Sicherheitslücken in WordPress Core

WordPress 7.1.1 Security Update: Das WordPress Security Team hat WordPress 7.1.1 als Wartungs- und Sicherheitsupdate veröffentlicht. Die neue Version enthält elf separate Sicherheitskorrekturen für WordPress Core.

Zu den behobenen Sicherheitsproblemen gehören Stored Cross-Site Scripting (XSS), authentifizierte Path Traversal, Arbitrary Post Overwrite sowie mehrere fehlende oder unzureichende Autorisierungsprüfungen.

WordPress empfiehlt Website-Betreibern ausdrücklich, ihre Installationen sofort zu aktualisieren.

Fakten zum WordPress 7.1.1 Security Update

• Produkt: WordPress Core
• Version: WordPress 7.1.1
• Veröffentlichung: 17. September 2026
• Typ: Maintenance and Security Release
• Security-Fixes: 11
• Zusätzlich: Fehlerkorrekturen in WordPress Core und im Block Editor
• Betroffene Hauptversion: WordPress 7.1 vor 7.1.1
• Aktuelle sichere Version: WordPress 7.1.1
• Ältere Branches: Sicherheitskorrekturen werden, soweit erforderlich, auf ältere betroffene Branches zurückportiert
• CVEs: In der ursprünglichen WordPress-Sicherheitsmeldung wurden für die elf einzelnen Probleme noch keine CVE-Nummern veröffentlicht
• Aktive Ausnutzung: derzeit nicht bestätigt
• Erforderliche Maßnahme: WordPress sofort auf 7.1.1 oder die aktuelle Security-Version des verwendeten unterstützten Branches aktualisieren

Elf Sicherheitsprobleme behoben

WordPress 7.1.1 ist nicht nur ein reguläres Wartungsupdate. Neben verschiedenen Fehlerkorrekturen enthält die Version elf Sicherheitsverbesserungen.

Das WordPress Security Team nennt unter anderem folgende behobene Probleme:

• Stored Cross-Site Scripting in wpautop(), durch das ein nicht angemeldeter Besucher unter der Voraussetzung einer Kommentarfreigabe Scriptcode einschleusen konnte;
• ein Problem in der WordPress HTML API, bei dem set_modifiable_text() durch speziell präparierte Abschlusssequenzen aus einem HTML-Kommentar ausbrechen konnte;
• Stored XSS in bestimmten Themes mit Unterstützung für WordPress Custom Headers;
• speziell präparierte URLs, über die ein inaktives Theme von WordPress.org automatisch installiert und als Vorschau geladen werden konnte;
• die Möglichkeit für einen Site Administrator, ein installiertes Network-only-Plugin netzwerkweit zu aktivieren;
• authentifizierte Path Traversal im WP REST Templates Controller;
• ein XML-RPC-Problem, über das customize_changeset-Posts veröffentlicht und Prüfungen auf edit_css umgangen werden konnten;
• Arbitrary Post Overwrite durch Benutzer mit Contributor-Rechten oder höher;
• eine fehlende read_post-Prüfung in attachment_submitbox_metadata(), wodurch der Titel eines privaten Parent-Posts offengelegt werden konnte;
• fehlende Autorisierung, durch die Contributors und Benutzer mit höheren Rechten Slugs von Draft- und Pending-Posts auslesen konnten;
• Comments, einschließlich Notes, konnten von jedem angemeldeten Benutzer einem anderen Post zugeordnet werden.

Stored XSS über wpautop()

Eines der auffälligsten Sicherheitsprobleme befindet sich in wpautop(), einer häufig verwendeten WordPress-Core-Funktion zur automatischen Verarbeitung von Absätzen und HTML-Zeilenumbrüchen.

Laut der offiziellen WordPress-Sicherheitsmeldung konnte ein nicht angemeldeter Besucher speziell präparierte Inhalte verwenden, um gespeicherten JavaScript-Code einzuschleusen.

Für die tatsächliche Ausführung gilt jedoch eine wichtige Voraussetzung: Der betreffende Kommentar muss freigegeben werden.

Dennoch handelt es sich um Stored XSS in WordPress Core. Schädlicher Inhalt kann gespeichert bleiben und später im Browserkontext eines anderen Benutzers ausgeführt werden.

Stored XSS in Themes mit Custom Headers

Ein weiteres Stored-XSS-Problem betrifft bestimmte WordPress-Themes, die Custom Headers unterstützen.

Da diese Funktion auf dem Zusammenspiel zwischen WordPress Core und Themes basiert, ist zur Behebung des zugrunde liegenden Problems das WordPress-Core-Sicherheitsupdate erforderlich.

Authenticated Path Traversal in der REST API

WordPress 7.1.1 behebt außerdem eine authentifizierte Path-Traversal-Schwachstelle im WP REST Templates Controller.

Bei Path Traversal können unzureichend geprüfte Pfadangaben dazu führen, dass eine Anwendung auf Bereiche außerhalb der vorgesehenen Verzeichnisstruktur zugreift.

Für diese Schwachstelle ist eine Authentifizierung erforderlich. Die ursprüngliche WordPress-Sicherheitsmeldung enthält derzeit weder eine separate CVE-Nummer noch detaillierte Exploitinformationen.

Contributors konnten beliebige Posts überschreiben

Das Update behebt außerdem ein Problem, durch das Benutzer mit Contributor-Rechten oder höher beliebige Posts überschreiben konnten.

Contributor ist normalerweise eine relativ eingeschränkte WordPress-Rolle. Ein Contributor darf eigene Inhalte erstellen und verwalten, sollte jedoch nicht beliebige Inhalte anderer Benutzer überschreiben können.

Diese Sicherheitskorrektur ist daher insbesondere für Websites relevant, auf denen mehrere Redakteure, Gastautoren oder andere Benutzer Zugriff auf WordPress haben.

XML-RPC-Autorisierungsproblem

Das Sicherheitsupdate behebt ebenfalls ein Autorisierungsproblem in XML-RPC.

Über XML-RPC konnten customize_changeset-Posts veröffentlicht werden, während Prüfungen auf die WordPress-Capability:

edit_css

umgangen wurden.

Speziell präparierte URLs konnten ein Theme installieren

Eine weitere Sicherheitskorrektur verhindert, dass speziell präparierte URLs automatisch ein inaktives Theme von WordPress.org installieren und im Vorschaumodus öffnen.

Dies bedeutet nicht, dass ein Angreifer ein beliebiges externes PHP-Theme hochladen konnte. Das Problem betrifft die unerwünschte Installation und Vorschau eines Themes aus der offiziellen WordPress.org-Infrastruktur.

Mehrere Autorisierungsprobleme behoben

Ein wesentlicher Teil der übrigen Korrekturen betrifft fehlende oder unzureichende Autorisierungsprüfungen.

• Offenlegung des Titels eines privaten Parent-Posts;
• Offenlegung von Slugs von Draft- und Pending-Posts;
• Neuzuordnung von Comments durch authentifizierte Benutzer;
• netzwerkweite Aktivierung eines Network-only-Plugins durch einen Site Administrator.

Die Auswirkungen unterscheiden sich je nach Sicherheitsproblem. Zusammen sind sie jedoch ein klarer Grund, dieses Security Update nicht aufzuschieben.

WordPress sofort auf 7.1.1 aktualisieren

WordPress empfiehlt ausdrücklich, Websites sofort auf die neue Sicherheitsversion zu aktualisieren.

Für Websites auf dem aktuellen 7.1-Branch bedeutet dies:

WordPress 7.1.1

Die installierte Version kann mit WP-CLI überprüft werden:

wp core version

Abhängig vom Verwaltungsprozess kann das Update über das WordPress-Dashboard oder per WP-CLI durchgeführt werden:

wp core update

Anschließend sollte die aktive Version erneut kontrolliert werden:

wp core version

Automatische Updates kontrollieren

WordPress gibt an, dass Websites mit unterstützten automatischen Core-Background-Updates den Aktualisierungsvorgang automatisch starten.

Gehen Sie dennoch nicht ungeprüft davon aus, dass jede Website erfolgreich aktualisiert wurde.

Dateiberechtigungen, unzureichender Speicherplatz, Fehler während des Updates oder abweichende WordPress-Konfigurationen können eine automatische Aktualisierung verhindern.

Kontrollieren Sie daher die tatsächlich aktive WordPress-Version.

Ältere WordPress-Versionen

Das WordPress Security Team gibt an, dass die Sicherheitskorrekturen bei Bedarf auch für ältere betroffene Branches bereitgestellt werden.

WordPress weist jedoch ausdrücklich darauf hin, dass nur die aktuellste WordPress-Version aktiv unterstützt wird.

Vservs empfiehlt deshalb, soweit technisch möglich, eine aktuelle WordPress-Version einzusetzen und nicht dauerhaft auf einem älteren Core-Branch zu verbleiben.

Keine bestätigte aktive Ausnutzung

Zum Zeitpunkt der Veröffentlichung hat Vservs keine zuverlässige Quelle gefunden, die eine aktive Ausnutzung einer oder mehrerer der elf in WordPress 7.1.1 behobenen Schwachstellen eindeutig bestätigt.

Wir klassifizieren diese Sicherheitsprobleme daher derzeit nicht als aktiv ausgenutzt.

Dies ändert nichts an der Update-Empfehlung. WordPress selbst klassifiziert 7.1.1 als Security Release und empfiehlt die sofortige Aktualisierung.

Noch keine einzelnen CVE-Nummern veröffentlicht

Die ursprüngliche WordPress-Sicherheitsmeldung beschreibt die elf behobenen Probleme, nennt derzeit jedoch keine einzelnen zugehörigen CVE-Nummern.

Vservs ordnet diesen Schwachstellen deshalb keine unbestätigten CVE-Nummern zu.

Keine universellen Indicators of Compromise

Derzeit sind keine zuverlässigen universellen IP-Adressen, Malware-Hashes, Dateinamen oder anderen Indicators of Compromise veröffentlicht, die speziell einer Ausnutzung der in WordPress 7.1.1 behobenen Schwachstellen zugeordnet werden können.

Vservs veröffentlicht daher keine spekulativen IoCs.

Für reguläre Websites ohne konkrete Hinweise auf eine Kompromittierung ist die Installation und anschließende Kontrolle des Security Updates die wichtigste Maßnahme.

WordPress Core nach dem Update überprüfen

Nach der Aktualisierung kann die Integrität der offiziellen WordPress-Core-Dateien mit folgendem Befehl überprüft werden:

wp core verify-checksums

Unerwartete Abweichungen sollten untersucht werden.

Beachten Sie, dass diese Prüfung WordPress Core kontrolliert. Plugins, Themes, Uploads und andere Dateien innerhalb von wp-content werden damit nicht vollständig überprüft.

Verantwortung für WordPress-Sicherheitsupdates

Kunden ohne Managed WordPress/CMS-Wartung oder einen separat vereinbarten Managed-CMS-Service sind selbst dafür verantwortlich, WordPress, WooCommerce, andere CMS-Plattformen, Plugins, Erweiterungen und Themes rechtzeitig zu aktualisieren.

Wenn Missbrauch, Malware oder nachweislich überfällige Wartung dazu führen, dass eine Website oder ein Dienst ein Risiko für unsere Infrastruktur, andere Kunden oder Dritte darstellt, kann Vservs die betreffende Website oder den Dienst vorübergehend isolieren oder deaktivieren.

Dies erfolgt ausschließlich als Sicherheits- und Kontinuitätsmaßnahme, um weitere Schäden, Missbrauch oder Beeinträchtigungen der Infrastruktur und Dienstleistungen zu verhindern.

Wiederherstellungsarbeiten an nicht verwalteten Umgebungen außerhalb unserer regulären Geschäftszeiten, an Wochenenden oder Feiertagen hängen von der Schwere des Vorfalls und der verfügbaren Kapazität ab. Wenn kein sofortiges Eingreifen erforderlich ist, können die Arbeiten ab dem nächsten Werktag aufgenommen werden.

Managed WordPress von Vservs

WordPress 7.1.1 zeigt, dass Sicherheitswartung nicht nur Plugins und Themes betrifft. Auch WordPress Core erhält regelmäßig Sicherheitsupdates, die zeitnah installiert werden müssen.

Mit Vservs Managed WordPress übernehmen wir unter anderem die technische WordPress-Verwaltung, Core-, Plugin- und Theme-Updates, Security Hardening und Monitoring, Malware-Kontrollen, Backups sowie die technische WordPress-Wartung.

Quellen

• WordPress.org – WordPress 7.1.1 Maintenance and Security Release
• WordPress.org – Dokumentation zu WordPress 7.1.1
• WordPress.org – offizielles Release-Archiv