Eine Sicherheitslücke in WordPress wird derzeit während des Website-Update-Prozesses aktiv von Angreifern ausgenutzt. Das Cybersecurity-Unternehmen Wordfence hat bis zum 6. November mehr als 240.000 Ausnutzungsversuche blockiert, und die US-Aufsichtsbehörden haben Bundesbehörden eine Frist zur Behebung gesetzt. Die Sicherheitslücke mit der Bezeichnung CVE-2026-119977 beruht nicht auf schwachen Passwörtern oder veralteten Plugins. Stattdessen liegt sie darin, wie WordPress bestimmte vollständige Software-Upgrades verarbeitet.

Bei diesen Upgrades entpackt WordPress kurzzeitig Installationsdateien in einen öffentlich erreichbaren Ordner. Das Fenster dauert nur wenige Sekunden, doch genau dieser kurze Moment ist es, den Angreifer abfangen wollen.

⚠️ALERT: Hackers are now targeting WordPress, the software behind 39.5% of all websites online. A critical flaw lets attackers take over a WordPress site in the seconds it spends updating, without needing to log in. During a full update, WordPress briefly stages its installer… pic.twitter.com/vYPYviWSw7

— Coin Bureau (@coinbureau) November 6, 2026

Funktionsweise des Angriffs

Ein Angreifer, der diese Dateien im richtigen Moment erreicht, kann möglicherweise bösartigen PHP-Code ausführen. Eine Anmeldung auf der Website ist zuvor nicht erforderlich, und schwache Passwörter oder veraltete Plugins spielen bei dem Exploit keine Rolle. Ein erfolgreicher Angriff könnte es ihm ermöglichen, Hintertüren zu installieren, Website-Inhalte zu ändern, unbefugte Administrator-Konten anzulegen oder vertrauliche Informationen zu stehlen. Schwachstellen, die keine Zugangsdaten erfordern, zählen zu den schwerwiegendsten Klassen von Web-Sicherheitslücken, da die üblichen Anmeldeverteidigungsmaßnahmen – starke Passwörter, Zwei-Faktor-Authentifizierung, Plugin-Hygiene – gar nicht zum Tragen kommen.

Die Lücke weist einen CVSS-Schweregrad von 8.1 von 10 auf und fällt damit in die Hochrisikokategorie der üblichen Schwachstellenskala von 0 bis 10. Laut Wordfence betrifft sie die WordPress-Versionen 4.7 bis 7.1.3, einen Bereich, der fast ein Jahrzehnt an Releases umfasst. Da WordPress laut W3Techs rund 39,5 % aller Websites weltweit betreibt, ist die Zahl der potenziell betroffenen Seiten erheblich – eine einzelne Lücke im Kern der Software kann Blogs, Medienunternehmen und Betriebe in denselben Risikopool bringen, bis sie gepatcht sind.

Laut Wordfence begannen Angreifer, die Lücke am 28. Oktober anzugreifen – am selben Tag, an dem WordPress sein Sicherheitsupdate veröffentlichte. In der Softwarebranche gilt die Veröffentlichung eines öffentlichen Fixes als potenzielles Startsignal für Angreifer, da Patches die Schwachstellen, die sie beheben, offenlegen können – ein Grund, warum Sicherheitsteams Administratoren drängen, sofort statt nach einem routinemäßigen Zeitplan zu aktualisieren. Die anfängliche Überprüfung ergab mehr als 18.500 verdächtige Anfragen in etwa 21 Stunden, und die Zahlen stiegen dann stetig an. Bis zum 6. November hatte die Wordfence-Firewall mehr als 240.000 Ausnutzungsversuche blockiert. Der größte Einzeltag war der 30. Oktober, an dem mehr als 74.000 bösartige Anfragen blockiert wurden.

Forscher beobachteten außerdem, dass Angreifer Seiten über lange Zeiträume hinweg wiederholt untersuchten, offenbar in der Erwartung, dass verwundbare Seiten das kurze Update-Fenster erreichen, in dem Installationsdateien öffentlich zugänglich werden. Die blockierten Anfragen bedeuten nicht bestätigte Hacks. Die Ausnutzung erfordert präzises Timing, was die Übernahme einer Seite deutlich schwieriger macht als das Senden einer Anfrage. Dennoch zeigt das Anfragevolumen ein starkes Interesse der Angreifer.

Behebung, Frist und Ratschläge für Website-Betreiber

WordPress veröffentlichte am 28. Oktober die Version 7.1.4. Das Release behebt die Lücke zusammen mit mehreren anderen Sicherheitsproblemen, und Patches sind auch für ältere unterstützte Zweige verfügbar, sodass Administratoren auf Legacy-Versionen ebenfalls Korrekturen anwenden können.

Am 3. November nahm die US-amerikanische Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen auf – eine Liste, die vorbehalten ist für Schwachstellen, deren aktive Ausnutzung bestätigt wurde – und gab zivilen Bundesbehörden bis zum 6. November Zeit, sie zu beheben. Katalogeinträge sind verpflichtend und nicht nur empfehlenswert: Gemäß der Binding Operational Directive 22-01 der CISA sind zivile Bundesbehörden verpflichtet, gelistete Schwachstellen bis zur jeweils festgelegten Frist zu beheben. Die CISA hat bestätigt, dass die Lücke in freier Wildbahn ausgenutzt wird.

Forscher wiesen zudem auf ein Problem für Seiten hin, die weiterhin verwundbar sind. Da die alte, ungepatchte Software den ersten Schritt des Upgrades übernimmt, kann eine Seite auch während der Installation genau des Updates, das die Lücke behebt, angreifbar bleiben. Wordfence empfiehlt, vor dem Start des Updates den Webzugriff auf PHP-Dateien im Verzeichnis /wp-content/upgrade/ zu blockieren.

Das Unternehmen hat bereits einen Firewall-Schutz für seine Kunden der Tarife Premium, Care und Response hinzugefügt; Nutzer des kostenlosen Plugins sollen denselben Schutz am 27. November erhalten. Administratoren werden aufgefordert, den Abschluss des Updates zu bestätigen, Server-Logs zu prüfen und Administrator-Konten auf unbefugte Änderungen zu überprüfen.

Krypto-Unternehmen, die auf WordPress basieren, sehen sich Berichten zufolge einem zusätzlichen Risiko ausgesetzt. Börsen, Blockchain-Projekte und Krypto-Nachrichtenseiten könnten durch Website-Manipulationen oder eingeschleuste Phishing-Links betroffen sein. Die Lücke beeinträchtigt Blockchain-Netzwerke oder Wallets nicht direkt, doch eine gehackte Seite könnte Besucher dennoch dazu verleiten, Wallets zu verbinden oder falsche Transaktionen zu genehmigen – eine Erinnerung daran, dass für Krypto-Firmen die Website vor der Blockchain Teil ihrer operationellen Sicherheit ist.

Bis zum 6. November hatte Wordfence mehr als 240.000 Versuche blockiert, die Schwachstelle auszunutzen, und Administratoren werden dringend aufgefordert, WordPress 7.1.4 zu installieren, die empfohlenen Verzeichnisschutzmaßnahmen anzuwenden und ihre Seiten anschließend zu überprüfen. Die Termine, die nun im Kalender stehen – die bundesstaatliche Patch-Frist am 6. November und die Bereitstellung des Firewall-Schutzes für Nutzer des kostenlosen Plugins am 27. November – sind die sichtbaren Kontrollpunkte, auf die zu achten sind, während die Reaktion voranschreitet, neben der laufenden Zählung der blockierten Versuche durch Wordfence.