WordPress-Sicherheit: aktuelle Lücken, Updates und was zu tun ist
14 Meldungen seit September 2026, davon 5 kritisch. Jüngste Meldung vom 4. November 2026: HTTP2Shell: Die Brotli-Lücke erreicht WordPress über Pingbacks, und kein Update im Dashboard hilft.
Dieser Ticker führt die Sicherheits- und Versionsmeldungen zu WordPress, WooCommerce, PHP, Joomla und verbreiteten Plugins, die ich werktäglich aus den Primärquellen auswerte: WordPress.org, PHP.net, Wordfence, Patchstack, WPScan und die Warnungen von CERT-Bund (BSI). Jede Zeile nennt die betroffenen Versionen und die eine Handlung, auf die es ankommt. Die Einstufung ist meine Einschätzung für Betreiber kleiner und mittlerer Websites, keine amtliche Bewertung.
| Datum | Stufe | Meldung | Betroffen | Was zu tun ist |
|---|---|---|---|---|
| Kritisch | HTTP2Shell: Die Brotli-Lücke erreicht WordPress über Pingbacks, und kein Update im Dashboard hilft | Brotli 1.0.3 bis 1.2.0 im libcurl des Webservers (CVE-2026-111497); jede WordPress-Installation mit offenem Pingback oder Plugins, die fremde URLs abrufen | Hoster nach der korrigierten libbrotli1-Paketversion fragen; bis dahin Pingback abschalten und die Brotli-Dekodierung per Must-Use-Plugin unterbinden. | |
| Kritisch | WordPress 7.1.4: 22 Sicherheitslücken geschlossen, eine davon ganz ohne Benutzerkonto ausnutzbar | WordPress bis 7.1.3 (Rechteausweitung im Update-Prozess ohne Anmeldung) | Sofort auf 7.1.4 aktualisieren. | |
| Kritisch | PHP2Shell: Warum das WordPress-Update gegen die kritische PHP-Lücke nichts hilft und was Sie heute prüfen müssen | PHP vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12 (CVE-2026-109618, CVE-2026-109619) | PHP-Version beim Hoster prüfen und anheben lassen. Ein WordPress-Update hilft nicht. | |
| Version | WooCommerce-Checkout bricht nach Update auf 11.2.0 ab: Was 11.2.1 behebt | WooCommerce 11.2.0 (Checkout) | Auf 11.2.1 aktualisieren und den Checkout mit einer Testbestellung prüfen. | |
| Hoch | WordPress 7.1.3: Sieben Sicherheitskorrekturen bei Kommentaren und Datenexport | WordPress bis 7.1.2 (Kommentare, WXR-Export, Imgur-Einbettung) | Auf 7.1.3 aktualisieren. | |
| Version | WooCommerce erhöht die PHP-Mindestversion: Was Sie vor Version 11.6 an Ihrem Shop prüfen sollten | WooCommerce ab 11.6 verlangt PHP 8.1 | PHP-Version vor dem Update prüfen, bei 8.0 oder älter zuerst PHP wechseln. | |
| Hoch | Joomla 6.1.4 und 5.4.9: Warum zwei Updates am selben Tag erscheinen und was jetzt zu tun ist | Joomla 6.1.x vor 6.1.4 und 5.4.x vor 5.4.9 | Auf 6.1.4 beziehungsweise 5.4.9 aktualisieren. | |
| Version | PHP 8.6 kommt, PHP 8.3 bekommt nur noch Sicherheitsupdates: Welche Version ins Hosting gehört | PHP 8.3 (nur noch Sicherheitsupdates), Sicherheitsversionen 8.5.11 und 8.3.35 | PHP-Version im Hosting prüfen, Wechsel von 8.3 auf 8.4 oder 8.5 planen. | |
| Kritisch | WordPress 7.1.2: kritische Lücke ohne Anmeldung ausnutzbar, Angreifer scannten kurz nach dem Patch | WordPress bis 7.1.1 (Vorlagenauflösung) | Sofort auf 7.1.2 aktualisieren, Zugriffsprotokolle der letzten Tage prüfen. | |
| Version | WordPress 7.2 kommt Anfang Dezember: Sudo-Modus, Inhaltsverzeichnis-Block, Formulare im Site-Editor | WordPress 7.2 (angekündigt) | Nichts zu tun. Testumgebung für Sudo-Modus und neue Blöcke einplanen. | |
| Kritisch | WordPress 7.1.1: elf Sicherheitskorrekturen und ein Klick, der zur Hintertür wurde | WordPress bis 7.1.0 (Click2Shell und zehn weitere Lücken) | Auf 7.1.1 aktualisieren, Theme-Liste auf fremde Einträge prüfen. | |
| Hoch | Tutor LMS bis 4.0.7: Jeder Kursteilnehmer konnte den Server übernehmen. Was Betreiber jetzt prüfen | Tutor LMS vor 4.0.8 | Auf 4.0.8 oder neuer aktualisieren, Abonnentenkonten prüfen. | |
| Hoch | Lücke in WooCommerce Wholesale Lead Capture wird ausgenutzt: Shop in fünf Schritten prüfen | Plugin WooCommerce Wholesale Lead Capture bis 2.0.3.1 | Plugin auf die aktuelle Version bringen, Upload-Ordner auf fremde Dateien prüfen. | |
| Hinweis | Cyber Resilience Act: Meldepflichten seit 11. September. Was das für WordPress-Plugins bedeutet | Hersteller von Plugins, Themes und Software; Betreiber nur mittelbar | Keine Sofortmaßnahme. Bei Plugin-Anbietern auf Meldewege und Update-Fristen achten. |
Was die Stufen bedeuten
- Kritisch: Codeausführung ohne Anmeldung oder aktiv ausgenutzte Lücke: sofort handeln.
- Hoch: Sicherheitsrelease oder Lücke mit Anmeldung: zeitnah aktualisieren.
- Version: Versionswechsel oder Funktionsänderung ohne akute Gefahr: einplanen und testen.
- Hinweis: Rechtliche oder organisatorische Änderung ohne Sofortmaßnahme.
Ticker abonnieren
Der Ticker hat einen eigenen RSS-Feed: feed-wordpress-sicherheit.xml. Er enthält nur Sicherheits- und Versionsmeldungen, keine anderen Blogbeiträge. Wer eine Website betreut, trägt ihn in den Feedreader ein oder lässt ihn vom Monitoring auswerten. Zitieren und Verlinken sind ausdrücklich erwünscht, bitte mit Quellenangabe.
Wie ich einstufe
Grundlage sind die Angaben der Hersteller und Sicherheitsfirmen zum Angriffsweg: Reicht eine Anfrage ohne Anmeldung für die Ausführung fremden Codes, oder laufen Angriffe bereits, ist die Stufe kritisch. Braucht der Angreifer ein Konto oder ist nur ein Teilbereich betroffen, ist sie hoch. Versionswechsel ohne akute Gefahr, etwa neue PHP-Mindestversionen, stehen als Version im Ticker, damit sie nicht untergehen. Was ich nicht aus der Originalquelle belegen kann, steht nicht hier.