WordPress 7.1.1: Sicherheitsupdate schließt kritische XSS-Lücke

WordPress hat am 17. September 2026 die Sicherheits- und Wartungsversion 7.1.1 veröffentlicht und schließt damit 11 Sicherheitslücken. Die schwerwiegendste erlaubt es Angreifern ohne Benutzerkonto, über die Kommentarfunktion Schadcode einzuschleusen. Da WordPress einen Großteil aller Firmen-Websites betreibt, sollten Betreiber jetzt zeitnah aktualisieren.

Was ist passiert?

Das WordPress-Sicherheitsteam hat mit 7.1.1 insgesamt 11 Schwachstellen behoben. Die gefährlichste ist eine gespeicherte Cross-Site-Scripting-Lücke (Stored XSS) in der Kernfunktion wpautop(), die auf nahezu jeder ausgegebenen Inhaltsseite zum Einsatz kommt. Sie wird als CVE-2026-93485 geführt und mit einem CVSS-Wert von 7.1 bewertet.

Ein nicht angemeldeter Angreifer kann darüber per Kommentar Schadskript hinterlegen; der Code wird ausgeführt, sobald ein Moderator den Kommentar freigibt. Zusätzlich behebt das Update laut Patchstack unter anderem eine authentifizierte Path-Traversal-Lücke im WP REST Templates Controller, mehrere Autorisierungs- und Informationslecks sowie eine Schwachstelle, über die Nutzer mit Beitragsrechten fremde Beiträge überschreiben können.

Wer ist betroffen?

Betroffen sind alle selbst gehosteten WordPress-Installationen vor Version 7.1.1. WordPress betreibt weltweit über 40 % aller Websites — darunter unzählige Firmen-Homepages, Online-Shops (WooCommerce), Vereins-, Praxis- und Kanzleiseiten. Besonders exponiert sind Seiten mit offener Kommentarfunktion, da hierüber die kritische XSS-Lücke angreifbar ist.

Was jetzt zu tun ist

1. WordPress-Kern umgehend auf Version 7.1.1 aktualisieren (Dashboard → Aktualisierungen → Jetzt aktualisieren).
2. Vor dem Update ein vollständiges Backup von Dateien und Datenbank erstellen.
3. Prüfen, ob automatische Hintergrund-Updates aktiv sind — für Minor-Releases werden diese bei vielen Installationen automatisch eingespielt.
4. Ausstehende Kommentare zunächst kritisch prüfen und verdächtige Einträge nicht freigeben, bis das Update installiert ist.
5. Auch Plugins und Themes auf den aktuellen Stand bringen — sie sind ein häufiges zusätzliches Einfallstor.

So hilft Binary System Services

Wir übernehmen das Patch-Management für WordPress-Websites: zeitnahes Einspielen von Kern-, Plugin- und Theme-Updates, Backup vor jedem Update und Monitoring auf verdächtige Aktivität. So bleibt Ihre Unternehmens-Website sicher, ohne dass Sie jeden Release selbst verfolgen müssen. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.