Update behebt 11 Schwach­stel­len und zahl­rei­che Feh­ler

Word­Press 7.1.1 wur­de am 17. Sep­tem­ber 2026 ver­öf­fent­licht und ist ein Sicher­heits- und War­tung­s­up­date, das Web­site-Betrei­ber zeit­nah instal­lie­ren soll­ten.
Nach Anga­ben von WordPress.org ent­hält die Ver­si­on 17 Feh­ler­be­he­bun­gen im Word­Press Core, 21 Feh­ler­be­he­bun­gen für den Block Edi­tor und 11 Sicher­heits­kor­rek­tu­ren.

Beson­ders rele­vant ist der Sicher­heits­aspekt: Die beho­be­nen Schwach­stel­len betref­fen unter ande­rem Cross-Site-Scrip­ting (XSS), die REST API, Berech­ti­gungs­prü­fun­gen, XML-RPC, Mul­ti­si­te sowie die Offen­le­gung bestimm­ter nicht öffent­li­cher Infor­ma­tio­nen. Word­Press emp­fiehlt des­halb aus­drück­lich, Web­sites sofort zu aktua­li­sie­ren.

Was genau behebt Word­Press 7.1.1, wel­che Sicher­heits­pro­ble­me wur­den geschlos­sen und was soll­ten Web­site-Betrei­ber jetzt tun?

Was ist neu in Word­Press 7.1.1?

Word­Press 7.1.1 ist kein gro­ßes Fea­ture-Release, son­dern kon­zen­triert sich auf Sicher­heit, Sta­bi­li­tät und Feh­ler­kor­rek­tu­ren. Ins­ge­samt nennt Word­Press 38 Feh­ler­be­he­bun­gen in Core und Block Edi­tor sowie 11 Sicher­heits­kor­rek­tu­ren.

Gera­de die Kom­bi­na­ti­on aus War­tungs- und Sicher­heits­kor­rek­tu­ren macht das Update für pro­duk­ti­ve Web­sites rele­vant. Es geht nicht ledig­lich um klei­ne­re Dar­stel­lungs- oder Kom­fort­pro­ble­me, son­dern auch um Schwach­stel­len, die Word­Press aus­drück­lich als Sicher­heits­pro­ble­me ein­stuft.

Wel­che Sicher­heits­lü­cken behebt Word­Press 7.1.1?

Word­Press doku­men­tiert für Ver­si­on 7.1.1 ins­ge­samt 11 Sicher­heits­kor­rek­tu­ren. Die Pro­ble­me betref­fen unter­schied­li­che Berei­che des Con­tent-Manage­ment-Sys­tems und set­zen teil­wei­se unter­schied­li­che Benut­zer­rech­te oder Vor­aus­set­zun­gen vor­aus.

1. Mani­pu­lier­te URL konn­te Instal­la­ti­on und Vor­schau eines The­mes aus­lö­sen

Eine der beho­be­nen Schwach­stel­len ermög­lich­te es, über eine spe­zi­ell prä­pa­rier­te URL ein The­me von WordPress.org zu instal­lie­ren und in der Vor­schau anzu­zei­gen. Das Pro­blem wur­de von Pau­los Yibe­lo und pwn.ai gemel­det.

2. Stored XSS bei benut­zer­de­fi­nier­ten Hea­der-Bil­dern

Word­Press 7.1.1 behebt außer­dem eine Stored-Cross-Site-Scrip­ting-Schwach­stel­le (XSS) im Zusam­men­hang mit benut­zer­de­fi­nier­ten Hea­der-Bil­dern bestimm­ter The­mes. Gemel­det wur­de das Pro­blem von Jere­my Felt vom Word­Press Secu­ri­ty Team.

3. Titel eines pri­va­ten über­ge­ord­ne­ten Bei­trags konn­te offen­ge­legt wer­den

Ein Infor­ma­ti­ons­leck konn­te dazu füh­ren, dass der Titel eines pri­va­ten über­ge­ord­ne­ten Bei­trags offen­ge­legt wur­de. Auch die­se Schwach­stel­le wur­de mit Word­Press 7.1.1 kor­ri­giert.

4. Sicher­heits­pro­blem in der HTML API

Ein Feh­ler in der Word­Press HTML API konn­te es modi­fi­zier­tem Text ermög­li­chen, aus einem HTML-Kom­men­tar aus­zu­bre­chen. Die Kor­rek­tur ist Bestand­teil des Sicher­heits­up­dates.

5. Mul­ti­si­te-Berech­ti­gungs­pro­blem

In Word­Press Mul­ti­si­te bestand ein Pro­blem, durch das ein Site-Admi­nis­tra­tor ein Plug­in netz­werk­weit akti­vie­ren konn­te, obwohl die­ses aus­schließ­lich für die Netz­werk­ak­ti­vie­rung vor­ge­se­hen war.

6. Con­tri­bu­tor+ konn­te belie­bi­ge Bei­trä­ge über­schrei­ben

Eine wei­te­re beho­be­ne Schwach­stel­le betraf Benut­zer mit der Rol­le Con­tri­bu­tor oder höhe­ren Berech­ti­gun­gen und konn­te das Über­schrei­ben belie­bi­ger Bei­trä­ge ermög­li­chen. Die Schwach­stel­le wur­de laut Word­Press von Anthro­pic gemel­det.

7. Path Tra­ver­sal in der REST API

Eben­falls von Anthro­pic gemel­det wur­de ein authen­ti­fi­zier­ter Path-Tra­ver­sal-Feh­ler im Tem­pla­tes Con­trol­ler der Word­Press REST API. Auch die­ses Sicher­heits­pro­blem wur­de mit Ver­si­on 7.1.1 geschlos­sen.

8. Kom­men­ta­re konn­ten unzu­läs­sig neu zuge­ord­net wer­den

Ein Auto­ri­sie­rungs­pro­blem ermög­lich­te es authen­ti­fi­zier­ten Benut­zern, Kom­men­ta­re – ein­schließ­lich Notes – einem ande­ren über­ge­ord­ne­ten Objekt zuzu­ord­nen. Word­Press hat die­se Berech­ti­gungs­lo­gik kor­ri­giert.

9. XML-RPC konn­te Berech­ti­gungs­prü­fung für Cus­tom CSS umge­hen

Ein Pro­blem in XML-RPC ermög­lich­te es Chan­ge­set-Posts, die für Cus­tom CSS vor­ge­se­he­ne Capa­bi­li­ty-Prü­fung zu umge­hen. Der Feh­ler wur­de vom Word­Press Secu­ri­ty Team gemel­det.

10. Offen­le­gung von Slugs für Ent­wür­fe und aus­ste­hen­de Bei­trä­ge

Benut­zer mit Con­tri­bu­tor-Rech­ten oder höher konn­ten unter bestimm­ten Bedin­gun­gen Slugs von Ent­wür­fen und aus­ste­hen­den Bei­trä­gen ein­se­hen. Word­Press 7.1.1 ver­hin­dert die­se uner­wünsch­te Offen­le­gung.

11. Stored XSS über Absatz­for­ma­tie­rung

Die elf­te doku­men­tier­te Sicher­heits­kor­rek­tur betrifft eine nicht authen­ti­fi­zier­te Stored-XSS-Schwach­stel­le über Absatz­for­ma­tie­run­gen. Laut Word­Press setzt die Aus­nut­zung eine Frei­ga­be des betref­fen­den Kom­men­tars vor­aus.

Wel­che älte­ren Word­Press-Ver­sio­nen sind betrof­fen?

Die Sicher­heits­pro­ble­me beschrän­ken sich nicht auf Word­Press 7.1. Word­Press hat die Kor­rek­tu­ren als Ser­vice auch für zahl­rei­che älte­re betrof­fe­ne Ver­si­ons­zwei­ge bereit­ge­stellt.

Nach der offi­zi­el­len Doku­men­ta­ti­on sind Word­Press 7.0 und Word­Press 6.9 von allen 11 Schwach­stel­len betrof­fen. Für die­se Zwei­ge wur­den Word­Press 7.0.5 bezie­hungs­wei­se Word­Press 6.9.8 mit den ent­spre­chen­den Sicher­heits­kor­rek­tu­ren ver­öf­fent­licht.

Auch älte­re Zwei­ge bis Word­Press 4.7 erhiel­ten – abhän­gig davon, wel­che Schwach­stel­len sie betref­fen – ent­spre­chen­de Sicher­heits­kor­rek­tu­ren. Word­Press 4.6 und älte­re Ver­sio­nen erhal­ten dage­gen kei­ne Sicher­heits­up­dates mehr.

Wich­tig ist die zusätz­li­che Klar­stel­lung von Word­Press:
Nur die jeweils neu­es­te Word­Press-Ver­si­on wird aktiv unter­stützt.
Eine älte­re Instal­la­ti­on ledig­lich auf den neu­es­ten Patch ihres alten Ver­si­ons­zweigs zu brin­gen, ersetzt daher kei­ne nach­hal­ti­ge Update-Stra­te­gie.

Soll­te Word­Press 7.1.1 sofort instal­liert wer­den?

Ja. Word­Press selbst emp­fiehlt aus­drück­lich, Web­sites auf­grund des Secu­ri­ty Releases sofort zu aktua­li­sie­ren.
Die­se Emp­feh­lung ist ange­sichts der elf beho­be­nen Sicher­heits­pro­ble­me nach­voll­zieh­bar.

Bei geschäft­lich genutz­ten Web­sites soll­te „sofort“ aller­dings nicht bedeu­ten, ein Update ohne Back­up und Kon­trol­le unvor­be­rei­tet auf ein kri­ti­sches Pro­duk­tiv­sys­tem ein­zu­spie­len.

So aktua­li­sierst Du auf Word­Press 7.1.1

Word­Press 7.1.1 kann direkt über den Admi­nis­tra­ti­ons­be­reich instal­liert wer­den. Word­Press ver­weist hier­für auf:

Dash­board → Aktua­li­sie­run­gen

Alter­na­tiv stellt Word­Press die aktu­el­le Ver­si­on über die offi­zi­el­le Down­load-Sei­te bereit.

7‑Punk­te-Pra­xis­leit­fa­den für das Update auf Word­Press 7.1.1

1. Back­up erstel­len: Siche­re vor dem Update Daten­bank und Datei­en.
2. Back­up prü­fen: Ein vor­han­de­nes Back­up ist nur hilf­reich, wenn es im Ernst­fall tat­säch­lich wie­der­her­ge­stellt wer­den kann.
3. Plug­ins und The­me prü­fen: Kon­trol­lie­re, ob ein­ge­setz­te Erwei­te­run­gen aktu­ell sind und mit der ver­wen­de­ten Word­Press-Ver­si­on zusam­men­ar­bei­ten.
4. Word­Press 7.1.1 instal­lie­ren: Füh­re das Update über Dash­board → Aktua­li­sie­run­gen bezie­hungs­wei­se über Dei­nen eta­blier­ten Deploy­ment-Pro­zess aus.
5. Front­end tes­ten: Prü­fe zen­tra­le Sei­ten­ty­pen, Navi­ga­ti­on, For­mu­la­re, Suche und ande­re wich­ti­ge Funk­tio­nen.
6. Backend kon­trol­lie­ren: Tes­te ins­be­son­de­re Edi­tor, Medi­en­ver­wal­tung und für den Betrieb wich­ti­ge admi­nis­tra­ti­ve Funk­tio­nen.
7. Moni­to­ring fort­set­zen: Beob­ach­te nach dem Update Feh­ler­mel­dun­gen, Erreich­bar­keit und unge­wöhn­li­ches Ver­hal­ten der Web­site.

War­um regel­mä­ßi­ge Word­Press-Updates zur Sicher­heits­stra­te­gie gehö­ren

Word­Press-Updates sind nicht nur eine Fra­ge neu­er Funk­tio­nen. Sicher­heits- und War­tungs­re­leases zei­gen regel­mä­ßig, dass auch der Core eines eta­blier­ten Con­tent-Manage­ment-Sys­tems kon­ti­nu­ier­lich wei­ter­ent­wi­ckelt und abge­si­chert wer­den muss.

Eine pro­fes­sio­nel­le Word­Press-Stra­te­gie soll­te des­halb Updates nicht erst dann berück­sich­ti­gen, wenn eine Web­site bereits Pro­ble­me zeigt. Sinn­voll sind fes­te Pro­zes­se für:

• regel­mä­ßi­ge Back­ups
• zeit­na­he Core-Updates
• Plug­in- und The­me-Updates
• Kom­pa­ti­bi­li­täts­prü­fun­gen
• Moni­to­ring
• Funk­ti­ons­kon­trol­len nach Updates

Gera­de Sicher­heits­up­dates soll­ten nicht über län­ge­re Zeit auf­ge­scho­ben wer­den. Je län­ger eine bekann­te Schwach­stel­le auf einem öffent­lich erreich­ba­ren Sys­tem unge­patcht bleibt, des­to unnö­ti­ger wird das dar­aus ent­ste­hen­de Risi­ko.

Fazit: Word­Press 7.1.1 soll­te zeit­nah auf pro­duk­ti­ven Web­sites ein­ge­spielt wer­den

Word­Press 7.1.1 ist deut­lich mehr als ein klei­nes War­tung­s­up­date. Neben ins­ge­samt 38 Feh­ler­be­he­bun­gen in Core und Block Edi­tor schließt die Ver­si­on 11 doku­men­tier­te Sicher­heits­pro­ble­me.

Beson­ders rele­vant sind die Kor­rek­tu­ren rund um Stored XSS, REST API, Berech­ti­gun­gen, XML-RPC, Mul­ti­si­te und Infor­ma­ti­ons­lecks. Word­Press selbst emp­fiehlt des­halb aus­drück­lich eine sofor­ti­ge Aktua­li­sie­rung.

Die zen­tra­le Erkennt­nis lau­tet:
Wer eine Word­Press-Web­site betreibt, soll­te Ver­si­on 7.1.1 nicht als optio­na­les Kom­fort-Update betrach­ten, son­dern als sicher­heits­re­le­van­te Aktua­li­sie­rung – idea­ler­wei­se ein­ge­bet­tet in einen kon­trol­lier­ten Pro­zess aus Back­up, Update, Funk­ti­ons­test und Moni­to­ring.

Möch­test Du Dei­ne Word­Press-Web­site tech­nisch aktu­ell, sicher und zuver­läs­sig betrei­ben?
Wir unter­stüt­zen Dich bei Word­Press-Updates, tech­ni­scher War­tung, Sicher­heits­maß­nah­men und lau­fen­dem Web­site-Moni­to­ring.
Sprich uns ger­ne an.

Herz­li­che Grü­ße
Dein Team von Stra­te­gie­pool