CISA benennt WordPress-Schwachstelle in Aktionsliste

Die amerikanische Cyber-Sicherheitsbehörde CISA hat am Dienstag (3.) die CVE-2026-119977, eine Schwachstelle im Kern von WordPress, in den Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen, wie aus der von der Behörde veröffentlichten Warnung hervorgeht. Die Aufnahme bedeutet, dass die CISA Beweise für aktive Ausnutzung hat. Zivile Bundesbehörden in den Vereinigten Staaten haben bis zum 6. November Zeit zur Behebung, entsprechend dem Eintrag im Katalog, eine Frist von drei Tagen, die mit der Direktive BOD 26-04 kompatibel ist.

Die Schwachstelle betrifft alle Versionen von WordPress von 4.7.0 bis 7.1.3. Der Fix wurde am 28. Oktober mit der Version 7.1.4 und Rückwärts-Updates für jede Version seit 4.7 veröffentlicht. Das bedeutet, dass jeder, der das Update von vor sechs Tagen noch nicht angewendet hat, eine Software betreibt, die von der US-Regierung als Ziel laufender Angriffe gelistet ist.

Ein Zeitfenster von Sekunden, während des Updates geöffnet

Die Schwachstelle ist vom Typ TOCTOU (time-of-check, time-of-use), eine Wettlaufbedingung. Während eines vollständigen Updates des Kerns erstellt WordPress temporäre Verzeichnisse in vorhersehbaren und von außen zugänglichen Pfaden innerhalb von wp-content/upgrade. Ein nicht authentifizierter Angreifer, der diesen Pfad im richtigen Moment trifft, kann Code auf dem Server ausführen, gemäß den von Wordfence und unabhängigen Forschern veröffentlichten Analysen.

Das operative Detail, das den Fall für Sicherheitsteams relevant macht, ist die Erkennung. Da die bösartige Anfrage direkt auf die temporäre PHP-Datei zugreift, ohne WordPress zu laden, könnte eine als Plugin innerhalb von WordPress laufende Webanwendungs-Firewall den Angriff möglicherweise nicht erkennen. Die veröffentlichten Empfehlungen verweisen auf die Zugriffsprotokolle des Webservers und nicht auf die Dashboards des CMS.

Hoch oder niedrig? Die Divergenz über die Schwere

Wordfence, das als Nummerierungsbehörde (CNA) fungierte und die CVE zuordnete, bewertet die Schwachstelle mit einem CVSS 3.1-Wert von 8,1, hochgradig. Das WordPress-Projekt selbst klassifizierte das Problem in der Sicherheitswarnung zur Version 7.1.4 als von geringer Schwere.

Beide Seiten haben Argumente. Die Position von WordPress stützt sich auf die Tatsache, dass die Ausnutzung vom Timing abhängt: sie funktioniert nur auf Servern, die sich mitten in einem Update befinden, und das Zeitfenster ist kurz. Die Position von Wordfence hingegen basiert auf der Skalierung: der Fehler liegt im Kern und nicht in einem Plugin, und jede Installation durchläuft jedes Mal das verletzliche Fenster, wenn sie aktualisiert wird. Das Unternehmen gab an, dass es in den ersten 24 Stunden nach der Veröffentlichung der entsprechenden Firewall-Regel am 28. Oktober zehntausende Ausnutzungsversuche blockiert hat.

Die Aufnahme in den KEV entscheidet die Diskussion aus praktischer Sicht, löst jedoch nicht die technische. Blockierte Versuche sind keine bestätigten Eindringungen, und weder WordPress noch Wordfence haben bis zum Redaktionsschluss Indikatoren für Kompromittierungen veröffentlicht, wie IP-Adressen oder Hashes. Die CISA hat auch nicht angegeben, welche Organisationen angegriffen wurden.

Was zu tun ist und wo das Risiko landet

Die konsolidierte Empfehlung lautet, auf 7.1.4 oder die korrigierte Version des verwendeten Zweigs zu aktualisieren. Solange dies nicht möglich ist, reduziert das Blockieren des HTTP-Zugriffs auf das Verzeichnis wp-content/upgrade die Angriffsfläche. Ein zusätzlicher Hinweis von Forschern: ein Update von einer sehr alten Version kann das temporäre Verzeichnis kurzzeitig wiederherstellen, weshalb das Blockieren vor dem Update und nicht danach erfolgen sollte.

In den Vereinigten Staaten hat dies unmittelbare regulatorische Auswirkungen für den öffentlichen Bundessektor, der bis Freitag Zeit hat, und indirekte Auswirkungen auf Regierungsanbieter, die in der Regel die Fristen des KEV vertraglich erben. In der Europäischen Union fällt ein Angriff über diesen Weg auf eine Website, die personenbezogene Daten sammelt, unter das Melderegime der DSGVO, mit einer Frist von 72 Stunden zur Benachrichtigung der Datenschutzbehörde. In Brasilien löst dasselbe Eindringen die Regelung zur Meldung von Vorfällen der ANPD aus, die eine Benachrichtigung innerhalb von drei Werktagen erfordert, wenn ein relevantes Risiko für die Betroffenen besteht.

Der gemeinsame Kanal für alle drei Märkte ist derselbe: WordPress befindet sich selten im Inventar des CISO. Es ist oft im Marketing, bei Drittagenturen, auf Kampagnen-Hotsites und in HR-Portalen untergebracht, die außerhalb der zentralen Infrastruktur gehostet werden. Für Beratungsunternehmen, die Schwachstellenmanagement für Kunden durchführen, lautet die nützliche Frage in dieser Woche nicht, ob der Kunde WordPress verwendet, sondern wer jede Installation aktualisiert und ob jemand die Serverprotokolle während des Update-Zeitraums überprüft.