WordPress hat die Version 7.1.1 veröffentlicht und rät Betreibern von Websites zu einer zeitnahen Aktualisierung. das Update entschärft auch die Angriffskette mit der Bezeichnung „Click2Shell“. Das Wartungs- und Sicherheitsupdate schließt elf Sicherheitslücken und behebt insgesamt 36 weitere Fehler im WordPress-Kern sowie im Block-Editor.
Die Sicherheitskorrekturen betreffen unter anderem mögliche Manipulationen von Inhalten, unberechtigte Änderungen an Beiträgen sowie Zugriffsprobleme bei Entwürfen, Kommentaren und einzelnen Verwaltungsfunktionen. Einige Schwachstellen könnten unter bestimmten Bedingungen dazu führen, dass Angreifer schädlichen Code in Webseiten einschleusen oder Nutzer mit erweiterten Rechten Inhalte verändern, die ihnen nicht zustehen.
Update 7.1.1 entschärft gefährliche Angriffskette „Click2Shell“
Zu den jetzt behobenen Risiken zählt nach Einschätzung von Sicherheitsforschern auch eine Angriffskette mit der Bezeichnung „Click2Shell“. Demnach konnte ein präparierter Link einen angemeldeten Administrator dazu bringen, im Hintergrund ein WordPress-Theme zu installieren. In Verbindung mit einer weiteren Schwachstelle im Theme wäre im schlimmsten Fall die Übernahme der betroffenen Website möglich gewesen – obwohl das Theme nicht aktiviert werden musste und für Besucher keine sichtbare Veränderung eingetreten wäre.
Für Unternehmen, Agenturen und Betreiber mehrerer Websites ist das Update besonders relevant, da WordPress häufig zentrale Marketing-, Shop- oder Informationsangebote trägt. Nicht aktualisierte Systeme können ein unnötiges Einfallstor für Sicherheitsvorfälle darstellen. Die Aktualisierung ist über das WordPress-Dashboard unter „Updates“ verfügbar; bei aktivierten automatischen Hintergrundupdates kann sie bereits eingespielt worden sein. WordPress stellt die Sicherheitskorrekturen zudem schrittweise für ältere, noch sicherheitsunterstützte Versionszweige bis einschließlich 4.7 bereit.
Gefährliche Lücken bereits vor 7.0.3
Der aktuelle Patch folgt auf mehrere schwerwiegende WordPress-Core-Sicherheitslücken in den vergangenen Monaten. Im August war mit CVE-2026-64638 eine Schwachstelle mit einem CVSS-Wert von 8.9 bekannt geworden, die Sicherheitsforscher als „XSS2Shell“ bezeichneten. Nach Angaben des Canadian Centre for Cyber .Security wurde sie bereits aktiv ausgenutzt. Sie betraf WordPress-Versionen vor 7.0.3 und konnte unter bestimmten Voraussetzungen zur vollständigen Übernahme einer Website führen.
Für den Angriff war zunächst kein WordPress-Konto nötig. Es genügte, wenn ein angemeldeter Administrator eine präparierte Webseite oder einen manipulierten Link öffnete. Angreifer konnten dann möglicherweise Handlungen mit dessen Rechten auslösen, eigene Administratorkonten anlegen, Inhalte verändern oder Schadcode auf dem Server hinterlegen. WordPress reagierte zunächst mit Version 7.0.3 und veröffentlichte kurz darauf mit 7.0.4 weitere Sicherheitskorrekturen.
Mehr bei WordPress.org