Sicher­heits­up­date schließt Remo­te-Code-Exe­cu­ti­on-Lücke

Word­Press 7.0.4 wur­de am 12. August 2026 ver­öf­fent­licht und ist ein wich­ti­ges Sicher­heits­up­date für Word­Press-Web­sites. Nach den offi­zi­el­len Ver­si­ons­hin­wei­sen schließt das Release eine Schwach­stel­le, über die ange­mel­de­te Benut­zer mit min­des­tens Autoren­rech­ten unter bestimm­ten tech­ni­schen Vor­aus­set­zun­gen durch einen mani­pu­lier­ten Datei-Upload eine Remo­te Code Exe­cu­ti­on (RCE) aus­lö­sen konn­ten.

Betrof­fen sind Web­sites, die Ima­gick und Ghost­script ein­set­zen. Word­Press emp­fiehlt auf­grund der Sicher­heits­re­le­vanz aus­drück­lich, Web­sites sofort zu aktua­li­sie­ren. Die Kor­rek­tur wur­de zudem für zahl­rei­che älte­re Word­Press-Ver­si­ons­li­ni­en zurück­por­tiert.

Die zen­tra­le Fra­ge lau­tet: Wel­che Sicher­heits­lü­cke behebt Word­Press 7.0.4, wel­che Web­sites sind betrof­fen und wie soll­ten Word­Press-Betrei­ber jetzt reagie­ren?

War­um Word­Press 7.0.4 ein wich­ti­ges Sicher­heits­up­date ist

Word­Press 7.0.4 ist kein gewöhn­li­ches War­tungs­re­lease. Im Mit­tel­punkt steht eine kon­kre­te Sicher­heits­lü­cke mit poten­zi­ell weit­rei­chen­den Fol­gen: Remo­te Code Exe­cu­ti­on.

Remo­te Code Exe­cu­ti­on bedeu­tet, dass es einem Angrei­fer unter bestimm­ten Vor­aus­set­zun­gen gelin­gen kann, uner­wünsch­ten Code auf einem Ser­ver aus­zu­füh­ren. Genau des­halb gehö­ren RCE-Schwach­stel­len grund­sätz­lich zu den Sicher­heits­pro­ble­men, die Web­site-Betrei­ber mit hoher Prio­ri­tät behan­deln soll­ten.

Im kon­kre­ten Fall ist eine Aus­nut­zung an meh­re­re Vor­aus­set­zun­gen gebun­den. Der Angrei­fer muss authen­ti­fi­ziert sein, min­des­tens über Autoren­rech­te ver­fü­gen und die Web­site muss Ima­gick und Ghost­script ver­wen­den. Den­noch emp­fiehlt Word­Press aus­drück­lich die sofor­ti­ge Instal­la­ti­on der Sicher­heits­ver­si­on.

Wel­che Sicher­heits­lü­cke behebt Word­Press 7.0.4?

Die offi­zi­el­len Ver­si­ons­hin­wei­se beschrei­ben die kor­ri­gier­te Schwach­stel­le als eine authen­ti­ca­ted Aut­hor+ remo­te code exe­cu­ti­on issue via mali­cious file upload. Ver­ein­facht bedeu­tet das: Ein ange­mel­de­ter Benut­zer mit min­des­tens der Word­Press-Benut­zer­rol­le „Autor“ konn­te auf ent­spre­chend kon­fi­gu­rier­ten Sys­te­men einen mani­pu­lier­ten Datei-Upload nut­zen, um eine Remo­te Code Exe­cu­ti­on aus­zu­lö­sen.

Die Schwach­stel­le betrifft die Bild­ver­ar­bei­tung von Word­Press in Ver­bin­dung mit Ima­gick und Ghost­script. Word­Press hat die Sicher­heits­kor­rek­tur in der Core-Datei class-wp-image-editor-imagick.php umge­setzt.

Was bedeu­tet Remo­te Code Exe­cu­ti­on?

Remo­te Code Exe­cu­ti­on – kurz RCE – bezeich­net eine Sicher­heits­klas­se, bei der ein Angrei­fer Code auf einem ent­fern­ten Sys­tem zur Aus­füh­rung brin­gen kann. Je nach Schwach­stel­le, Ser­ver­kon­fi­gu­ra­ti­on und vor­han­de­nen Berech­ti­gun­gen kön­nen die Aus­wir­kun­gen erheb­lich sein.

• Mani­pu­la­ti­on von Web­site-Datei­en
• Ver­än­de­rung oder Ein­schleu­sen von Inhal­ten
• Instal­la­ti­on uner­wünsch­ter Skrip­te
• Miss­brauch einer Web­site für Spam oder Wei­ter­lei­tun­gen
• Zugriff auf Daten im Rah­men der vor­han­de­nen Ser­ver­rech­te
• Beein­träch­ti­gung von Inte­gri­tät und Ver­füg­bar­keit einer Web­site

Die­se Punk­te beschrei­ben die all­ge­mei­ne Bedeu­tung einer Remo­te Code Exe­cu­ti­on. Für Web­site-Betrei­ber ist ent­schei­dend, die von Word­Press bereit­ge­stell­te Sicher­heits­kor­rek­tur ein­zu­spie­len.

Wer kann die Schwach­stel­le aus­nut­zen?

Nach Anga­ben von Word­Press han­delt es sich nicht um eine Schwach­stel­le, die belie­bi­ge anony­me Web­site-Besu­cher ohne Benut­zer­kon­to direkt aus­nut­zen kön­nen.

Für die beschrie­be­ne Angriffs­mög­lich­keit benö­tigt ein Angrei­fer:

• ein gül­ti­ges Word­Press-Benut­zer­kon­to
• min­des­tens die Benut­zer­rol­le Autor
• die Mög­lich­keit, eine mani­pu­lier­te Datei hoch­zu­la­den
• eine Web­site bezie­hungs­wei­se Ser­ver­um­ge­bung, die Ima­gick und Ghost­script ver­wen­det

Das redu­ziert zwar die Zahl poten­zi­el­ler Angrei­fer, besei­tigt das Risi­ko aber nicht. Web­sites mit meh­re­ren Redak­teu­ren, Autoren oder Gast­au­toren soll­ten die Aktua­li­sie­rung des­halb kei­nes­falls auf­schie­ben.

Was sind Ima­gick und Ghost­script?

Ima­gick

Ima­gick ist eine PHP-Erwei­te­rung, über die Anwen­dun­gen auf Funk­tio­nen von Image­Ma­gick zugrei­fen kön­nen. Word­Press kann Ima­gick zur ser­ver­sei­ti­gen Ver­ar­bei­tung von Bil­dern ein­set­zen, bei­spiels­wei­se beim Ska­lie­ren oder Erzeu­gen ver­schie­de­ner Bild­grö­ßen.

Ghost­script

Ghost­script ist eine Soft­ware zur Ver­ar­bei­tung von Post­Script- und PDF-Daten. In bestimm­ten Ser­ver­kon­fi­gu­ra­tio­nen kann Image­Ma­gick bezie­hungs­wei­se Ima­gick auf Ghost­script zurück­grei­fen.

Für Betrei­ber ist nicht ent­schei­dend, die gesam­te tech­ni­sche Ver­ar­bei­tungs­ket­te selbst zu ana­ly­sie­ren. Der siche­re Weg besteht dar­in, die von Word­Press bereit­ge­stell­te Aktua­li­sie­rung ein­zu­spie­len.

Wel­che älte­ren Word­Press-Ver­sio­nen sind betrof­fen?

Word­Press weist aus­drück­lich dar­auf hin, dass nur die jeweils neu­es­te Word­Press-Ver­si­on aktiv unter­stützt wird. Die Rück­por­tie­rung der Sicher­heits­kor­rek­tur auf älte­re Ver­si­ons­zwei­ge erfolgt aus Kulanz.

Wel­che Datei wur­de mit Word­Press 7.0.4 geän­dert?

Der offi­zi­el­le Chan­ge­log nennt ledig­lich eine über­ar­bei­te­te Core-Datei:

• /wp-includes/class-wp-image-editor-imagick.php

Die­se Datei gehört zur Word­Press-Bild­ver­ar­bei­tung über Ima­gick. Zusätz­li­che Word­Press-Pake­te wur­den laut Chan­ge­log nicht ver­än­dert.

Word­Press 7.0.4 instal­lie­ren: So soll­ten Web­site-Betrei­ber vor­ge­hen

1. Ver­si­ons­stand prü­fen: Kon­trol­lie­re, ob Word­Press 7.0.4 oder die pas­sen­de Sicher­heits­ver­si­on bereits instal­liert ist.
2. Back­up erstel­len: Siche­re Daten­bank und Datei­en voll­stän­dig und wie­der­her­stell­bar.
3. Sofort aktua­li­sie­ren: Behand­le das Release auf­grund der RCE-Schwach­stel­le mit hoher Prio­ri­tät.
4. Media­thek tes­ten: Prü­fe Upload, Bild­ver­ar­bei­tung und Dar­stel­lung von Medi­en.
5. Benut­zer­rech­te kon­trol­lie­ren: Ent­fer­ne nicht mehr benö­tig­te Kon­ten und redu­zie­re über­höh­te Berech­ti­gun­gen.
6. Logs prü­fen: Kon­trol­lie­re Ser­ver- und Sicher­heits­pro­to­kol­le auf unge­wöhn­li­che Akti­vi­tä­ten.
7. Aktu­el­le Word­Press-Ver­si­on ein­set­zen: Nut­ze zurück­por­tier­te Sicher­heits­up­dates nur als kurz­fris­ti­ge Absi­che­rung und pla­ne das Upgrade auf die aktiv unter­stütz­te Ver­si­on.

Was soll­te nach dem Update getes­tet wer­den?

Benut­zer­rech­te als wich­ti­ger Teil der Word­Press-Sicher­heit

Word­Press 7.0.4 zeigt erneut, war­um das Prin­zip der mini­mal not­wen­di­gen Berech­ti­gun­gen wich­tig ist. Nicht jeder Benut­zer benö­tigt Administrator‑, Redak­teurs- oder Autoren­rech­te.

• Wel­che Benut­zer­kon­ten exis­tie­ren noch?
• Wel­che Kon­ten wer­den tat­säch­lich benö­tigt?
• Wel­che Benut­zer dür­fen Datei­en hoch­la­den?
• Sind ehe­ma­li­ge Mit­ar­bei­ter oder exter­ne Dienst­leis­ter noch als Benut­zer ange­legt?
• Besit­zen ein­zel­ne Kon­ten mehr Rech­te als für ihre Auf­ga­ben erfor­der­lich?

Das Ent­fer­nen nicht benö­tig­ter Kon­ten und die Beschrän­kung von Benut­zer­rech­ten erset­zen kein Sicher­heits­up­date. Sie redu­zie­ren aber grund­sätz­lich die Angriffs­flä­che einer Word­Press-Instal­la­ti­on.

Fazit: Word­Press 7.0.4 soll­te umge­hend instal­liert wer­den

Word­Press 7.0.4 behebt eine sicher­heits­re­le­van­te Schwach­stel­le in der Ima­gick-basier­ten Bild­ver­ar­bei­tung. Unter bestimm­ten Vor­aus­set­zun­gen konn­te ein ange­mel­de­ter Benut­zer mit min­des­tens Autoren­rech­ten einen mani­pu­lier­ten Datei-Upload für eine Remo­te Code Exe­cu­ti­on nut­zen, wenn die Web­site Ima­gick und Ghost­script ein­setzt.

Die wich­tigs­te Erkennt­nis lau­tet: Word­Press 7.0.4 ist kein Update, das Web­site-Betrei­ber unnö­tig auf­schie­ben soll­ten. Word­Press selbst emp­fiehlt die sofor­ti­ge Aktua­li­sie­rung.

Betrei­ber älte­rer Word­Press-Ver­sio­nen soll­ten min­des­tens die für ihre Ver­si­ons­li­nie bereit­ge­stell­te Sicher­heits­kor­rek­tur instal­lie­ren. Lang­fris­tig bleibt jedoch der Wech­sel auf die aktu­el­le, aktiv unter­stütz­te Word­Press-Ver­si­on die rich­ti­ge Stra­te­gie.

Möch­test Du Dei­ne Word­Press-Web­site sicher aktua­li­sie­ren, tech­nisch prü­fen und dau­er­haft pro­fes­sio­nell betreu­en las­sen? Wir unter­stüt­zen Dich bei Word­Press-Sicher­heits­up­dates, War­tung, Back­ups, Benut­zer- und Rech­te­kon­zep­ten, tech­ni­scher Opti­mie­rung und der kon­ti­nu­ier­li­chen Betreu­ung Dei­ner Web­site. Sprich uns ger­ne an.

Herz­li­che Grü­ße
Dein Team von Stra­te­gie­pool