WordPress-Kernschwachstelle bereits aktiv ausgenutzt — nur Update auf 7.0.4 schützt

Ein Sicherheitsupdate klingt nach Routine – bei WordPress 7.0.4 ist es das nicht. Die Lücke, die die neue Version schließt, wird nach Angaben des Canadian Centre for Cyber Security bereits aktiv ausgenutzt, während viele Betreiber noch gar nicht wissen, dass sie betroffen sind. Wer eine WordPress-Version vor 7.0.3 einsetzt, sollte das jetzt klären – nicht erst beim nächsten Wartungsfenster.

Was ist passiert?

Sicherheitsforscher haben eine Schwachstelle im WordPress-Core identifiziert, die alle Installationen vor Version 7.0.3 betrifft. Der Hersteller hat mit Version 7.0.4 reagiert – nach eigenen Angaben schließt ausschließlich dieses Update die Lücke vollständig. Ein isoliertes Plugin-Update oder eine Firewall-Regel ersetzt den Core-Patch nicht.

Was ist belegt?

Bestätigt ist die aktive Ausnutzung: Das Canadian Centre for Cyber Security, die staatliche Cybersicherheitsbehörde Kanadas, stuft die Lücke als bereits in freier Wildbahn ausgenutzt ein. Das ist eine offizielle Einschätzung einer Behörde, keine Vermutung aus der Security-Community – und das macht den Fall dringlicher als die meisten WordPress-Patches, die ohne Hinweis auf eine Ausnutzung erscheinen. WordPress betreibt nach eigenen Angaben einen sehr großen Teil der Websites weltweit; eine aktiv ausgenutzte Core-Lücke skaliert entsprechend schnell über viele Installationen hinweg, unabhängig von Branche oder Unternehmensgröße.

Was ist derzeit unklar?

Öffentlich bislang nicht unabhängig bestätigt ist, welche konkrete Schwachstellenklasse hier vorliegt – etwa ob ein Angreifer authentifiziert sein muss oder eine anonyme Anfrage bereits genügt. Eine CVE-Kennung oder ein CVSS-Wert liegen derzeit nicht vor. Wer auf diese Details wartet, um die Dringlichkeit einzuordnen, sollte das nicht als Grund zum Zuwarten nehmen: Die bestätigte aktive Ausnutzung wiegt schwerer als ein fehlender technischer Feinschliff.

Was das für Ihren Betrieb bedeutet

Kurz gesagt: patchen. Prüfen Sie Ihre aktuelle Version im Dashboard unter „Updates“ oder, wenn Sie WP-CLI nutzen, mit `wp core version`. Liegt sie unter 7.0.3, spielen Sie das Update auf 7.0.4 zeitnah ein – idealerweise nach einem frischen Backup, denn ein Rollback muss auch bei einem dringenden Sicherheitsupdate möglich bleiben. Testen Sie das Update, wenn Zeit bleibt, kurz auf einer Staging-Instanz, bevor Sie es produktiv ausrollen, da Core-Updates gelegentlich mit älteren Plugins kollidieren. Betreiben Sie mehrere WordPress-Installationen, etwa für verschiedene Mandanten oder Projekte, lohnt sich jetzt ein Rundgang über den gesamten Bestand statt nur über die Hauptseite. Managed-Hosting-Umgebungen mit automatischen Core-Updates sind hier im Vorteil; wer WordPress selbst verwaltet, trägt die Verantwortung für den Patch-Zeitpunkt allein und sollte ihn nicht aufschieben.

Das WordPress-Core-System selbst ist quelloffen (GPL-lizenziert) und kostenlos; das Update auf 7.0.4 kostet also nichts außer der Zeit, es einzuspielen. Genau deshalb gibt es wenig Grund, damit zu warten.

Quellen: b2b-cyber-security — „WordPress-Core Lücke: Nur Sicherheitsupdate auf 7.0.4 schützt“ (https://b2b-cyber-security.de/wordpress-core-luecke-nur-sicherheitsupdate-auf-7-0-4-schuetzt/)