Eine kritische Sicherheitsschwachstelle in WordPress könnte Angreifern ermöglichen, ohne Anmeldung die Kontrolle über Websites zu übernehmen, wie ein Bericht von Hokanews zeigt. Die Schwachstelle betrifft die Versionen 4.7 bis 7.1.3 und zielt auf ein kurzes Zeitfenster während des Update-Prozesses der Plattform ab, in dem ihr Installer vorübergehend über einen öffentlichen Ordner zugänglich ist.

WordPress betreibt 39,5 % aller Websites im Internet, wie aus Informationen von Coin Bureau hervorgeht – das bedeutet, dass etwa vier von zehn Websites auf derselben Basissoftware laufen. Diese Größenordnung verleiht der gemeldeten Schwachstelle eine potenziell große Reichweite, da sie den eigenen Update-Prozess der Plattform betrifft und nicht ein einzelnes Plugin oder Theme. Die Sorge konzentriert sich auf die Möglichkeit, dass Angreifer während eines vollständigen Updates eigenen Code direkt auf dem Server einer Website ausführen könnten – ein Ergebnis, das in eine unbefugte Kontrolle über die Website selbst münden kann.

Wie die Schwachstelle funktioniert

Während eines vollständigen WordPress-Updates legt die Plattform ihren Installer vorübergehend in einem öffentlich zugänglichen Ordner ab. Laut Coin Bureau kann ein Angreifer, der diesen Ort während des kurzen Zeitfensters erreicht, eigenen Code auf dem Server ausführen. Da die Exposition nur während des laufenden Updates besteht, ist das Risiko an diesen vorübergehenden Zeitraum gebunden und nicht an einen dauerhaft offenen Zugangspunkt.

Die Schwachstelle erfordert keine Anmeldung des Angreifers bei der betroffenen WordPress-Website. Stattdessen nutzt der Angriff die vorübergehende Exposition aus, die während des Update-Prozesses entsteht, und ermöglicht so möglicherweise eine unbefugte Kontrolle über die Website.

Die Schwachstelle betrifft jede WordPress-Version von 4.7 bis 7.1.3. Dieser Bereich umfasst laut den von Coin Bureau gemeldeten Informationen fast 10 Jahre an Releases, zurück bis Dezember 2016. Ein so weiter Zeitraum bringt Installationen sehr unterschiedlichen Alters in den gemeldeten betroffenen Bereich – nicht nur die neuesten Versionen.

Wordfence meldet Schwachstelle CVE-2026-119977

Das Sicherheitsunternehmen Wordfence hat das Problem gemeldet, das nun unter der Kennung CVE-2026-119977 geführt wird. Die CVE-Kennung ist das standardisierte Identifikationssystem zur Katalogisierung öffentlich bekannt gemachter Software-Schwachstellen und bietet Forschern und Website-Betreibern einen gemeinsamen Bezugspunkt für dieselbe Schwachstelle. Die Schwachstelle hat zudem Firewall-Schutzmaßnahmen ausgelöst, wobei Wordfence seine erste Blockierung gerade einmal neun Minuten nach Aktivierung des Schutzes verzeichnete.

Der berichtete Zeitverlauf zeigt, dass die Firewall kurz nach Aktivierung ihres Schutzes begann, Aktivitäten im Zusammenhang mit der Schwachstelle zu blockieren. Der Bericht gibt jedoch nicht an, wie viele Angriffsversuche unternommen wurden oder wie viele Websites betroffen sein könnten. Diese beiden Zahlen bleiben die wichtigsten offenen Fragen rund um die Schwachstelle, da sie zeigen würden, wie viel Aktivität sie in der Praxis angezogen hat.

Da die Versionen 4.7 bis 7.1.3 in den gemeldeten betroffenen Bereich fallen, betrifft die Schwachstelle einen breiten Zeitraum von WordPress-Releases. Die vorübergehende Exposition des Installers während vollständiger Updates ist die im Bericht beschriebene konkrete Schwachstelle.

Der ursprüngliche Bericht wurde von Victoria Hale verfasst, einer Autorin für Technologie und Blockchain bei Hokanews.