WordPress-Core-Race-Condition ermöglicht Angreifern Codeausführung während Updates, aktiv ausgenutzt

Was ist passiert

Am 31. Oktober 2026 wurde eine Schwachstelle in WordPress Core öffentlich bekannt, die als CVE-2026-119977 geführt wird. Es handelt sich um eine Time-of-Check-Time-of-Use-Race-Condition (TOCTOU) in der Art, wie WordPress vollständige Core-Updates über ein Paket durchführt. Während eines solchen Updates verwendet WordPress vorhersagbare Staging-Pfade, die über das Web erreichbar sind. Ein nicht authentifizierter Angreifer, der diese Pfade während des Updatefensters trifft, kann Code auf dem Server ausführen.

Am 3. November 2026 hat CISA die Schwachstelle in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Angriffe finden daher bereits jetzt statt. Ein CVSS-Wert wurde bisher noch nicht veröffentlicht.

Wer ist betroffen

Alle WordPress-Installationen mit einer betroffenen Core-Version sind gefährdet, unabhängig von Theme oder Plugins. Für den Angriff ist keine Anmeldung erforderlich. Der verwundbare Moment ist das vollständige Core-Update selbst. Websites, die Core automatisch oder nach Zeitplan aktualisieren, sind daher jedes Mal exponiert, wenn ein solches Update läuft.

Die unten verlinkte Ankündigung des Herstellers bezieht sich auf WordPress 7.1.4. Bitte prüfen Sie diese und die verlinkten Hinweise auf die genauen betroffenen und behobenen Versionen, einschließlich möglicher Korrekturen für ältere Zweige.

Was Sie jetzt tun sollten

1. Erstellen Sie zügig ein Backup der Website-Dateien, der wp-config.php und der Datenbank.
2. Prüfen Sie den unten verlinkten Herstellerhinweis und ermitteln Sie die behobene Version für den von Ihnen eingesetzten Zweig.
3. Aktualisieren Sie WordPress Core auf die behobene Version, zum Beispiel mit wp core update über WP-CLI oder über das Dashboard. Da die Schwachstelle im Updatefenster liegt, führen Sie das Update zu einer ruhigen Zeit aus und lassen Sie es nicht halb abgeschlossen.
4. Wenn Sie viele Websites betreuen, aktualisieren Sie diese zeitnah und kontrolliert, statt auf geplante automatische Updates zu warten.
5. Bestätigen Sie nach dem Update die Version mit wp core version, rufen Sie Frontend und Adminbereich auf und prüfen Sie die PHP- und Webserver-Fehlerprotokolle.
6. Falls auf einer Website kürzlich ein Core-Update auf einer betroffenen Version lief, führen Sie die unten genannten Prüfungen auch nach dem Update durch, da ein Kompromittierung während eines früheren Updates durch den Patch nicht rückgängig gemacht wird.

So prüfen Sie, ob Sie betroffen sind

• Prüfen Sie die installierte Core-Version mit wp core version oder unter Dashboard > Updates und vergleichen Sie sie mit den behobenen Versionen im Herstellerhinweis.
• Sichten Sie die Zugriffsprotokolle des Webservers rund um die Zeitpunkte aktueller Core-Updates auf Anfragen unbekannter Adressen an den Upgrade-Staging-Bereich (standardmäßig unterhalb von wp-content/upgrade/).
• Suchen Sie in wp-content/upgrade/ nach übriggebliebenen oder unerwarteten Dateien sowie im Webroot nach kürzlich geänderten PHP-Dateien, zum Beispiel mit find . -name '*.php' -mtime -7.
• Führen Sie wp core verify-checksums aus, um veränderte Core-Dateien zu erkennen.
• Prüfen Sie auf unbekannte Administratorkonten (wp user list --role=administrator), unbekannte geplante Aufgaben und unbekannte Plugins.
• Falls Sie Hinweise auf eine Kompromittierung finden, nehmen Sie die Website offline, sichern Sie die Protokolle zur Analyse, stellen Sie aus einem sauberen Backup wieder her, aktualisieren Sie und ändern Sie alle Passwörter sowie die Schlüssel und Salts in wp-config.php.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-119977
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog