WordPress absichern: Sicherheitsupdates schließen Lücke bei Datei-Uploads

Für kleine und mittlere Unternehmen ist die Schwachstelle vor allem dann relevant, wenn mehrere Personen Dateien in WordPress hochladen dürfen. Ein Angriff ist zwar nur unter bestimmten technischen Voraussetzungen möglich. Sind diese erfüllt, könnte jedoch Schadcode auf dem Webserver ausgeführt werden.

Wann die Schwachstelle ausgenutzt werden kann

WordPress hat am 12. August 2026 die Sicherheitsversion 7.0.4 veröffentlicht. Sie schließt die Schwachstelle CVE-2026-65640. Betroffen sind Installationen, die Imagick und Ghostscript zur Verarbeitung hochgeladener Dateien einsetzen. Beide Komponenten werden auf Webservern unter anderem zur Verarbeitung von Bildern und Dokumenten genutzt.

Zusätzlich wird ein angemeldetes Benutzerkonto mit der Berechtigung upload_files benötigt. In der WordPress-Standardkonfiguration besitzen unter anderem Autoren und höher berechtigte Rollen dieses Recht. Unter diesen Voraussetzungen könnte eine speziell präparierte PostScript-Datei genutzt werden, um Schadcode auf dem Webserver auszuführen.

Die Schwachstelle wird mit einem CVSS-Wert von 8,8 als hoch eingestuft. Das französische CERT-FR warnt ebenfalls vor der möglichen Ausführung beliebigen Codes und empfiehlt, die bereitgestellten Sicherheitsaktualisierungen zu installieren.

Quellen: WordPress-Sicherheitsveröffentlichung, CERT-FR, GitHub-Sicherheitshinweis

Das Risiko hängt von Konten und Servertechnik ab

Die Lücke lässt sich nicht ohne Weiteres von beliebigen Besucherinnen und Besuchern einer Website ausnutzen. Neben Imagick und Ghostscript ist ein Benutzerkonto mit Upload-Berechtigung erforderlich. Damit betrifft das Risiko besonders Unternehmenswebsites, Kundenbereiche, Intranets und redaktionelle Plattformen mit mehreren Autorenkonten.

Auch ein ursprünglich vertrauenswürdiges Konto kann zum Einfallstor werden, wenn die Zugangsdaten gestohlen wurden. Eine erfolgreiche Ausnutzung könnte Inhalte und gespeicherte Daten gefährden oder den Betrieb der Website beeinträchtigen.

Welche WordPress-Versionen die Korrektur enthalten

Nicht jede Version vor WordPress 7.0.4 ist automatisch ungepatcht. WordPress hat die Korrektur zusätzlich für ältere Versionszweige bis zurück zu WordPress 4.7 veröffentlicht. Zu den abgesicherten älteren Versionen gehören beispielsweise 6.9.7, 6.8.8, 6.7.7 und 6.5.10. Wer den Versionszweig 7.0 nutzt, benötigt mindestens WordPress 7.0.4.

Versionen bis einschließlich 4.6 erhalten keine Sicherheitsaktualisierungen mehr. Für solche Installationen ist daher eine kontrollierte Migration notwendig.

Seit dem 19. August 2026 steht WordPress 7.1 als neue Hauptversion bereit. Das WordPress-Projekt weist grundsätzlich darauf hin, dass nur die jeweils neueste Version aktiv unterstützt wird. Die Sicherheitsupdates für ältere Zweige wurden in diesem Fall zusätzlich bereitgestellt.

Quelle: Veröffentlichung von WordPress 7.1

Jetzt prüfen und geordnet aktualisieren

1. Genaue WordPress-Version feststellen: Maßgeblich ist der vollständige Versionsstand einschließlich des verwendeten Zweigs, nicht nur die Hauptversionsnummer.
2. Imagick und Ghostscript prüfen: Es sollte geklärt werden, ob beide Komponenten auf dem Webserver installiert und an der Verarbeitung von Uploads beteiligt sind.
3. Passendes Sicherheitsupdate einplanen: Die Installation sollte auf eine korrigierte Version des eingesetzten Zweigs oder auf eine aktuell unterstützte WordPress-Version aktualisiert werden.
4. Datensicherung anlegen: Vor dem Eingriff ist eine aktuelle und überprüfbare Sicherung der Website, der Datenbank und der relevanten Konfiguration sinnvoll.
5. Funktionen nach dem Update kontrollieren: Dazu gehören die Website selbst, Anmeldung, Formulare, Erweiterungen und Datei-Uploads.
6. Berechtigungen knapp halten: Upload-Rechte sollten nur Konten besitzen, die sie tatsächlich benötigen. Nicht mehr genutzte Konten sollten deaktiviert werden. Eine Mehrfaktor-Authentifizierung kann geeignete Zugänge zusätzlich schützen.
7. Sehr alte Installationen ablösen: WordPress 4.6 und ältere Versionen erhalten keine Sicherheitsupdates mehr und müssen kontrolliert migriert werden.

Unterstützung aus Husum

Wir unterstützen kleine und mittlere Unternehmen bei der Bestandsaufnahme, der Updateplanung und der Absicherung selbst betriebener oder gehosteter Systeme. Dazu können eine Datensicherung vor dem Update, die Abstimmung eines passenden Wartungszeitpunkts und eine anschließende Funktionskontrolle gehören. Auch Berechtigungen und die Absicherung von Zugängen können wir gemeinsam prüfen.

Wenn Sie nicht sicher sind, welche WordPress-Version oder welche Serverkomponenten bei Ihnen eingesetzt werden, melden Sie sich bei Netzmal in Husum. Dann klären wir gemeinsam, welches Update und welche weiteren Schritte für Ihre Installation sinnvoll sind.