WordPress 7.1.3 behebt sieben Sicherheitslücken

Das WordPress 7.1.3 Sicherheitsupdate behebt sieben Sicherheitslücken in WordPress Core, darunter Stored Cross-Site Scripting, eine Second-Order SQL-Injection, einen Denial-of-Service und die Offenlegung von Informationen ohne Authentifizierung. WordPress hat Version 7.1.3 am 6. Oktober 2026 veröffentlicht und empfiehlt Website-Betreibern, ihre Installationen umgehend zu aktualisieren.

Neben den sieben Sicherheitskorrekturen enthält WordPress 7.1.3 vier reguläre Bugfixes. Eine der Sicherheitslücken wird als CVE-2026-66666 geführt und kann es ermöglichen, Kommentare zu privaten oder noch nicht veröffentlichten Beiträgen ohne WordPress-Benutzerkonto abzurufen.

Was behebt das WordPress 7.1.3 Sicherheitsupdate?

Nach Angaben des offiziellen WordPress Security Teams behebt WordPress 7.1.3 sieben separate Sicherheitsprobleme:

• Stored Cross-Site Scripting auf der Verwaltungsseite für Kommentare über ausstehende Kommentare;
• ein Denial-of-Service-Problem in WP_Http::make_absolute_url();
• eine Second-Order SQL-Injection in der WordPress-WXR-Exportfunktion;
• ein Autorisierungsproblem, durch das Benutzer mit der Rolle Author Beiträge als „sticky“ markieren konnten;
• unauthentifizierte Offenlegung von Kommentaren zu privaten und noch nicht veröffentlichten Beiträgen;
• Cross-Site Scripting über Imgur-Embeds;
• manipulierbare Parameter für den {status}_{type}-Hook, die zu einer Action-Name-Collision führen können.

Die einzelnen Schwachstellen haben nicht alle denselben Angriffsvektor oder dieselbe Auswirkung. WordPress hat daher keinen gemeinsamen CVSS-Score für das gesamte Sicherheitsupdate 7.1.3 vergeben.

CVE-2026-66666: Kommentare zu privaten Beiträgen ohne Anmeldung abrufbar

Eine der mit WordPress 7.1.3 behobenen Schwachstellen wird als CVE-2026-66666 geführt.

Unter bestimmten Umständen konnten Kommentare, die zu privaten oder noch nicht veröffentlichten WordPress-Beiträgen gehören, über einen Kommentar-Feed ohne Authentifizierung abgerufen werden.

Die Schwachstelle hat einen CVSS-4.0-Score von 6,9 und wird als Medium eingestuft.

Für diese spezifische Schwachstelle sind unter anderem folgende WordPress-Versionen betroffen:

• WordPress 7.1 bis einschließlich 7.1.2;
• WordPress 7.0 bis einschließlich 7.0.6;
• WordPress 6.9 bis einschließlich 6.9.9;
• WordPress 6.8 bis einschließlich 6.8.10;
• WordPress 6.7 bis einschließlich 6.7.9;
• WordPress 6.6 bis einschließlich 6.6.9.

Für CVE-2026-66666 sind WordPress 7.1.3, 7.0.7, 6.9.10, 6.8.11, 6.7.10 und 6.6.10 als korrigierte Releases der jeweiligen Versionszweige registriert.

Vservs empfiehlt, wenn möglich direkt auf die aktuelle WordPress-Version 7.1.3 zu aktualisieren, anstatt dauerhaft auf einem älteren Versionszweig zu verbleiben. WordPress selbst empfiehlt den Einsatz der jeweils aktuellsten verfügbaren Version.

Stored XSS über ausstehende Kommentare

Ein weiteres in WordPress 7.1.3 behobenes Sicherheitsproblem betrifft Stored Cross-Site Scripting auf der WordPress-Verwaltungsseite für Kommentare.

Ein Angreifer kann schädliche Inhalte in einem ausstehenden Kommentar speichern. Öffnet ein berechtigter WordPress-Administrator diesen Kommentar anschließend in der Verwaltungsoberfläche, kann der gespeicherte JavaScript-Code im Kontext des WordPress-Backends ausgeführt werden.

Stored XSS ist besonders relevant, weil die schädliche Eingabe auf der Website gespeichert bleibt, bis sie von einem Administrator aufgerufen wird. Der Angreifer muss einen Administrator daher nicht zwingend dazu bringen, eine speziell präparierte externe URL zu öffnen.

Second-Order SQL-Injection im WXR-Export

WordPress 7.1.3 behebt außerdem eine Second-Order SQL-Injection in der WordPress-WXR-Exportfunktion.

Bei einer Second-Order SQL-Injection wird eine schädliche Eingabe nicht unbedingt unmittelbar als Teil einer SQL-Abfrage ausgeführt. Stattdessen können vom Angreifer kontrollierte Daten zunächst gespeichert und erst später bei der Verarbeitung durch eine andere Funktion in eine unsichere Datenbankabfrage gelangen.

Da die Schwachstelle die Exportfunktion betrifft, unterscheidet sich der Angriffsweg von einer klassischen, direkt aus dem Internet erreichbaren unauthentifizierten SQL-Injection.

Denial-of-Service in der WordPress-HTTP-Verarbeitung

Auch in WP_Http::make_absolute_url() wurde ein Sicherheitsproblem behoben, das einen Denial-of-Service verursachen kann.

Die praktische Auswirkung hängt davon ab, wie die betreffende HTTP-Funktion innerhalb einer WordPress-Installation erreicht und verwendet wird. Das zugrunde liegende Problem wurde in WordPress 7.1.3 korrigiert.

Weitere Sicherheitskorrekturen in WordPress 7.1.3

Das Update behebt zusätzlich ein Autorisierungsproblem im Zusammenhang mit Sticky Posts, eine XSS-Schwachstelle bei Imgur-Embeds sowie ein Problem mit manipulierbaren Hook-Parametern, das eine Action-Name-Collision verursachen kann.

Die Kombination der sieben Sicherheitskorrekturen macht WordPress 7.1.3 zu einem wichtigen Security-Release, auch wenn eine Website nicht jede der betroffenen Funktionen aktiv nutzt.

WordPress jetzt auf Version 7.1.3 aktualisieren

WordPress bezeichnet Version 7.1.3 ausdrücklich als Maintenance and Security Release und empfiehlt Website-Betreibern, ihre Installationen zu aktualisieren.

Vservs empfiehlt folgende Maßnahmen:

1. Prüfen Sie, ob ein aktuelles Backup von Website und Datenbank vorhanden ist.
2. Aktualisieren Sie WordPress Core auf Version 7.1.3 oder eine neuere verfügbare Version.
3. Kontrollieren Sie nach dem Update, ob die erwartete WordPress-Version tatsächlich aktiv ist.
4. Prüfen Sie installierte Plugins und Themes ebenfalls auf verfügbare Sicherheitsupdates.
5. Testen Sie nach dem Update wichtige Website-, Formular- und Shop-Funktionen.

WordPress-Website auf verdächtige Aktivitäten prüfen

Eine verwundbare WordPress-Version bedeutet nicht automatisch, dass eine Website angegriffen oder kompromittiert wurde. Bei Websites, die mit WordPress 7.1.2 oder einer anderen betroffenen älteren Version öffentlich erreichbar waren, kann eine zusätzliche Kontrolle dennoch sinnvoll sein.

Achten Sie unter anderem auf:

• unerwartete oder auffällige ausstehende Kommentare;
• HTML- oder JavaScript-Konstruktionen in Kommentaren, die dort funktional nicht hingehören;
• ungewöhnliche Requests an Kommentar-Feeds für private oder unveröffentlichte Inhalte;
• unerwartete WordPress-Exportaktivitäten;
• nicht erklärbare Spitzen bei PHP- oder Webserver-Last;
• unerwartete Änderungen an Beiträgen, Benutzern oder Benutzerrollen;
• neue oder unbekannte Administrator-Konten;
• auffällige Aktivitäten in Webserver-, PHP- oder Security-Logs.

Ein verdächtiger Request allein ist kein Beweis dafür, dass eine Schwachstelle erfolgreich ausgenutzt wurde. Logaktivitäten sollten mit tatsächlichen Änderungen innerhalb von WordPress und weiteren verfügbaren Sicherheitsdaten abgeglichen werden.

Werden die Schwachstellen aus WordPress 7.1.3 aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung hat Vservs keine zuverlässige Bestätigung gefunden, dass die sieben mit WordPress 7.1.3 behobenen Schwachstellen in größerem Umfang aktiv ausgenutzt werden.

Für CVE-2026-66666 meldet die aktuelle CISA-Vulnerability-Enrichment-Bewertung keine beobachtete Exploitation. Die Schwachstelle ist derzeit ebenfalls nicht im CISA Known Exploited Vulnerabilities Catalog aufgeführt.

Dies sollte nicht als Grund verstanden werden, das Update aufzuschieben. Die Schwachstellen sind öffentlich bekannt und eine offizielle Sicherheitsaktualisierung ist verfügbar.

Managed WordPress Hosting bei Vservs

WordPress Core ist nur ein Teil der Sicherheit einer WordPress-Umgebung. Plugins, Themes, PHP, Datenbankkonfiguration, Serversicherheit, Monitoring und zuverlässige Backups tragen ebenfalls wesentlich zur Sicherheit einer Website bei.

Mit Vservs Managed WordPress übernehmen wir unter anderem WordPress-Core-, Plugin- und Theme-Updates, Security Hardening, Monitoring, Backups, SSL, Performance-Optimierung und relevante Sicherheitskontrollen.

Zusammenfassung

• Produkt: WordPress Core
• Release: WordPress 7.1.3
• Veröffentlichungsdatum: 6. Oktober 2026
• Sicherheitskorrekturen: 7
• Unter anderem: Stored XSS, Second-Order SQL-Injection, Denial-of-Service und Information Disclosure
• CVE: unter anderem CVE-2026-66666
• CVE-2026-66666 CVSS: 6,9 – Medium
• Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht bestätigt
• Empfohlene Version: WordPress 7.1.3 oder neuer
• Empfehlung: umgehend aktualisieren

Quellen

• WordPress.org – WordPress 7.1.3 Maintenance and Security Release
• WordPress.org – WordPress 7.1.3 Release-Dokumentation
• Patchstack – CVE-2026-66666
• CVE Program / CISA ADP – CVE-2026-66666