WordPress Core: Remote Code Execution über vorhersehbare Staging-Pfade bei Upgrades

Zusammenfassung

WordPress Core in den Versionen 4.7 bis 7.1.3 verwendet bei vollständigen Core-Upgrades vorhersehbare, über das Web erreichbare Staging-Pfade. Ein nicht authentifizierter Angreifer kann dies während des Upgrade-Fensters ausnutzen, um Code auf dem Server auszuführen. Die Ausnutzung setzt voraus, dass gerade ein Upgrade läuft, und der CVSS-Basiswert beträgt 8.1 (hoch).

Betroffen

• WordPress Core 4.7.0 bis 4.7.38
• WordPress Core 4.8.0 bis 4.8.33
• WordPress Core 4.9.0 bis 4.9.34
• WordPress Core 5.0.0 bis 5.0.30
• WordPress Core 5.1.0 bis 5.1.27
• WordPress Core 5.2.0 bis 5.2.29
• WordPress Core 5.3.0 bis 5.3.26
• WordPress Core 5.4.0 bis 5.4.24
• WordPress Core 5.5.0 bis 5.5.23
• WordPress Core 5.6.0 bis 5.6.22
• WordPress Core 5.7.0 bis 5.7.20
• WordPress Core 5.8.0 bis 5.8.18
• Gesamtbereich laut NVD: 4.7 bis 7.1.3
• Branches 5.9 bis 7.1.3: genaue betroffene Versionen siehe Herstellerhinweis

Behoben in

• WordPress 7.1.4 (veröffentlicht am 28. Oktober 2026)
• Nachgezogene Korrekturen für ältere Branches: Sekundärquellen nennen 4.7.39, 7.0.8 und 6.9.11. Die genaue Version pro Branch ist im offiziellen WordPress-Release-Archiv zu bestätigen.
• Korrigierte Version für 6.8.x und ältere Branches: Unbekannt.
• Websites mit Version 4.6 oder älter erhalten keine Korrektur und benötigen eine unterstützte Version.

Umgehung

• WordPress Core auf die korrigierte Version aktualisieren. Dies ist die unterstützte Lösung.
• Falls ein Update noch nicht möglich ist, den Webzugriff auf wp-content/upgrade/ auf dem Webserver verweigern und sicherstellen, dass das Verzeichnis nicht auflistbar ist.
• Drittanbieter-Updater, die Core-Routinen umgehen, verwenden unter Umständen weiterhin vorhersehbare Pfade in wp-content/. Diese ebenfalls prüfen.

Ausnutzung

• Wordfence und Medienberichte beschreiben Ausnutzungsversuche kurz nach der Veröffentlichung von 7.1.4. Die gemeldeten Zahlen weichen voneinander ab (etwa 58'000 bis 63'000 blockierte Versuche innerhalb von 24 Stunden) und konnten nicht verifiziert werden.
• Laut Stand 31. Oktober 2026 nicht im Katalog CISA KEV gelistet.
• Es wurde kein öffentlicher Proof-of-Concept speziell für CVE-2026-119977 gefunden. Nicht mit CVE-2026-60137 und CVE-2026-63030 verwechseln, die andere Versionen betreffen.

Unsere Empfehlung

• Alle WordPress-Core-Installationen umgehend auf 7.1.4 bzw. die korrigierte Version des jeweiligen Branches aktualisieren.
• Prüfen, ob Websites in den betroffenen Versionsbereich fallen. Zusätzlich auf Anzeichen einer Kompromittierung prüfen, etwa unbekannte PHP-Dateien in wp-content/upgrade/ oder in den WordPress-Verzeichnissen.
• Die Webserver-Regel für wp-content/upgrade/ bis zum abgeschlossenen Patch anwenden.
• Webserver-Logs auf Anfragen an Upgrade-Pfade aus unbekannten Quellen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WordPress 7.1.4 Release wordpress.org
• Wordfence threat intelligence entry www.wordfence.com
• Rapid7 vulnerability entry www.rapid7.com
• Patchstack: WordPress 7.1.4 security release patchstack.com
• Brandefense: WordPress 7.1.4 security update brandefense.io
• Rescana: WordPress Core 7.1.4 upgrade staging RCE www.rescana.com
• The Hacker News: WordPress RCE flaw draws nearly 63,000 attacks thehackernews.com
• OffSeq Radar: CVE-2026-119977 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:43.