Word­Press 7.1.2 ist da: Sicher­heits­up­date schließt Path-Tra­ver­sal-Schwach­stel­le mit mög­li­cher Remo­te Code Exe­cu­ti­on

Word­Press 7.1.2 wur­de am 22. Sep­tem­ber 2026 ver­öf­fent­licht und ent­hält eine Sicher­heits­kor­rek­tur, die Web­site-Betrei­ber ernst neh­men soll­ten.
Nach Anga­ben von WordPress.org behebt die Ver­si­on eine nicht authen­ti­fi­zier­te Path-Tra­ver­sal-Schwach­stel­le bei der Auf­lö­sung von Sei­ten-Tem­pla­tes, die unter bestimm­ten Bedin­gun­gen zu Remo­te Code Exe­cu­ti­on füh­ren kann.

Word­Press stuft 7.1.2 aus­drück­lich als Secu­ri­ty Release ein und emp­fiehlt, Web­sites sofort zu aktua­li­sie­ren. Beson­ders rele­vant ist die gro­ße Reich­wei­te der Schwach­stel­le: Laut offi­zi­el­ler Doku­men­ta­ti­on sind auch zahl­rei­che älte­re Word­Press-Zwei­ge betrof­fen. Für die­se wur­den par­al­lel Sicher­heits­up­dates bereit­ge­stellt.

Was genau behebt Word­Press 7.1.2, wel­che älte­ren Ver­sio­nen sind betrof­fen und was soll­ten Web­site-Betrei­ber jetzt tun?

Was behebt Word­Press 7.1.2?

Word­Press 7.1.2 behebt laut offi­zi­el­ler Doku­men­ta­ti­on eine nicht authen­ti­fi­zier­te Path-Tra­ver­sal-Schwach­stel­le in der Auf­lö­sung von Sei­ten-Tem­pla­tes. Word­Press beschreibt als mög­li­che Fol­ge eine „con­di­tio­nal remo­te code exe­cu­ti­on“, also eine Remo­te Code Exe­cu­ti­on, die nur unter bestimm­ten Vor­aus­set­zun­gen mög­lich ist.

Für Web­site-Betrei­ber ist ins­be­son­de­re das Wort „unau­then­ti­ca­ted“ rele­vant: Die von Word­Press beschrie­be­ne Schwach­stel­le setzt dem­nach nicht grund­sätz­lich vor­aus, dass ein Angrei­fer zuvor über ein ange­mel­de­tes Benut­zer­kon­to ver­fügt.

Word­Press nennt in den Ver­si­ons­hin­wei­sen kei­ne all­ge­mei­ne Aus­sa­ge, dass jede betrof­fe­ne Instal­la­ti­on auto­ma­tisch aus­nutz­bar ist. Des­halb soll­te aus der For­mu­lie­rung „con­di­tio­nal remo­te code exe­cu­ti­on“ nicht geschlos­sen wer­den, dass auf jeder Word­Press-Web­site ohne wei­te­re Vor­aus­set­zun­gen belie­bi­ger Code aus­ge­führt wer­den kann.

Was bedeu­ten Path Tra­ver­sal und Remo­te Code Exe­cu­ti­on?

Path Tra­ver­sal

Bei einer Path-Tra­ver­sal-Schwach­stel­le kann eine Anwen­dung unter bestimm­ten Umstän­den dazu gebracht wer­den, Datei­pfa­de anders auf­zu­lö­sen als vor­ge­se­hen. Dadurch kön­nen Zugrif­fe auf Datei­en oder Pfa­de mög­lich wer­den, die eigent­lich außer­halb des vor­ge­se­he­nen Bereichs lie­gen.

Im kon­kre­ten Fall nennt Word­Press aus­drück­lich die page-tem­p­la­te reso­lu­ti­on, also die Ver­ar­bei­tung bezie­hungs­wei­se Auf­lö­sung von Sei­ten-Tem­pla­tes, als betrof­fe­nen Bereich.

Remo­te Code Exe­cu­ti­on

Remo­te Code Exe­cu­ti­on (RCE) bezeich­net grund­sätz­lich eine Sicher­heits­klas­se, bei der ein Angrei­fer unter bestimm­ten Vor­aus­set­zun­gen Code auf einem ent­fern­ten Sys­tem aus­füh­ren kann. Sol­che Schwach­stel­len sind sicher­heits­re­le­vant, weil eine erfolg­rei­che Aus­nut­zung weit­rei­chen­de Aus­wir­kun­gen auf ein Sys­tem haben kann.

Für Word­Press 7.1.2 ist aller­dings die genaue For­mu­lie­rung der offi­zi­el­len Doku­men­ta­ti­on wich­tig: Word­Press spricht von einer beding­ten bezie­hungs­wei­se „con­di­tio­nal“ Remo­te Code Exe­cu­ti­on. Ohne wei­te­re bestä­tig­te tech­ni­sche Details soll­te die kon­kre­te Aus­nutz­bar­keit des­halb nicht pau­scha­li­siert wer­den.

Wel­che Word­Press-Ver­sio­nen sind betrof­fen?

Die Sicher­heits­lü­cke betrifft nach Anga­ben von Word­Press zahl­rei­che älte­re Ver­si­ons­zwei­ge. Als Ser­vice wur­den des­halb auch für älte­re betrof­fe­ne Bran­ches Sicher­heits­up­dates ver­öf­fent­licht.

Word­Press 4.6 und älte­re Ver­sio­nen erhal­ten laut Word­Press kei­ne Sicher­heits­up­dates mehr.
Wer noch eine der­art alte Instal­la­ti­on betreibt, soll­te daher nicht ledig­lich nach einem Back­port für die­se Schwach­stel­le suchen, son­dern die tech­ni­sche Aktua­li­sie­rung der gesam­ten Instal­la­ti­on prio­ri­sie­ren.

War­um ver­öf­fent­licht Word­Press Updates für so vie­le alte Ver­sio­nen?

Word­Press stellt die Sicher­heits­kor­rek­tur nach eige­ner Aus­sa­ge aus Kulanz auch für älte­re betrof­fe­ne Ver­si­ons­zwei­ge bereit. Gleich­zei­tig weist das Pro­jekt aus­drück­lich dar­auf hin, dass nur die neu­es­te Word­Press-Ver­si­on aktiv unter­stützt wird.

Das ist ein wich­ti­ger Unter­schied: Die Bereit­stel­lung eines ein­zel­nen Sicher­heits-Back­ports bedeu­tet nicht, dass eine ver­al­te­te Word­Press-Haupt­ver­si­on den­sel­ben Sup­port­sta­tus besitzt wie die aktu­el­le Ver­si­on.

Wel­che Datei wur­de in Word­Press 7.1.2 geän­dert?

Der offi­zi­el­le Chan­ge­log für Word­Press 7.1.2 nennt genau eine über­ar­bei­te­te Core-Datei:

/wp-includes/template.php

Zusätz­lich führt Word­Press aus, dass für die­ses Release kei­ne Packa­ges über­ar­bei­tet wur­den.

Die­se Infor­ma­ti­on kann für Ent­wick­ler und Admi­nis­tra­to­ren bei der tech­ni­schen Nach­voll­zieh­bar­keit des Updates hilf­reich sein. Sie soll­te jedoch nicht als Anlei­tung ver­stan­den wer­den, ledig­lich die­se ein­zel­ne Datei manu­ell aus­zu­tau­schen. Der regu­lä­re Word­Press-Update-Pro­zess ist der vor­ge­se­he­ne Weg.

Muss Word­Press 7.1.2 sofort instal­liert wer­den?

Ja, Word­Press emp­fiehlt aus­drück­lich, Web­sites sofort zu aktua­li­sie­ren.
Der Grund ist, dass es sich um ein Sicher­heits­re­lease han­delt.

Für pro­duk­ti­ve Unter­neh­mens­web­sites soll­te „sofort“ den­noch mit einem kon­trol­lier­ten Update-Pro­zess ver­bun­den wer­den. Ein Sicher­heits­up­date soll­te nicht unnö­tig ver­zö­gert wer­den, gleich­zei­tig soll­ten Back­up und Funk­ti­ons­kon­trol­le Bestand­teil des Pro­zes­ses blei­ben.

Word­Press 7.1.2 sicher instal­lie­ren: Pra­xis­leit­fa­den

1. Voll­stän­di­ges Back­up erstel­len: Siche­re Datei­en und Daten­bank, bevor Ände­run­gen am pro­duk­ti­ven Sys­tem vor­ge­nom­men wer­den.
2. Aktu­el­len Ver­si­ons­stand prü­fen: Kon­trol­lie­re im Word­Press-Backend, wel­che Core-Ver­si­on tat­säch­lich instal­liert ist.
3. Plug­ins und The­mes prü­fen: Stel­le sicher, dass geschäfts­kri­ti­sche Erwei­te­run­gen und das akti­ve The­me aktu­ell sind und kei­ne bekann­ten Kom­pa­ti­bi­li­täts­pro­ble­me bestehen.
4. Word­Press aktua­li­sie­ren: Word­Press 7.1.2 kann über Dash­board > Aktua­li­sie­run­gen instal­liert wer­den.
5. Web­site tes­ten: Prü­fe nach dem Update Front­end, Backend, For­mu­la­re, Shop-Funk­tio­nen, Log­in, Suche und ande­re geschäfts­kri­ti­sche Pro­zes­se.
6. Ver­si­on kon­trol­lie­ren: Ver­ge­wis­se­re Dich, dass die abge­si­cher­te Word­Press-Ver­si­on tat­säch­lich aktiv ist.
7. Alte Instal­la­tio­nen nicht dau­er­haft kon­ser­vie­ren: Ein Sicher­heits-Back­port ersetzt kei­ne lang­fris­ti­ge Update-Stra­te­gie auf eine aktiv unter­stütz­te Word­Press-Ver­si­on.

Was bedeu­tet Word­Press 7.1.2 für Unter­neh­men?

Für Unter­neh­men ist Word­Press 7.1.2 vor allem ein Hin­weis dar­auf, dass Word­Press-War­tung ein kon­ti­nu­ier­li­cher Sicher­heits­pro­zess sein muss. Eine Web­site kann äußer­lich pro­blem­los funk­tio­nie­ren und trotz­dem eine sicher­heits­re­le­van­te Core-Ver­si­on ein­set­zen.

Ein pro­fes­sio­nel­les War­tungs­kon­zept soll­te des­halb min­des­tens Core-Updates, Plug­in- und The­me-Updates, regel­mä­ßi­ge Back­ups, Funk­ti­ons­prü­fun­gen und eine nach­voll­zieh­ba­re Update-Rou­ti­ne umfas­sen.

Beson­ders kri­tisch sind Instal­la­tio­nen, die über Jah­re auf alten Word­Press-Zwei­gen ver­blei­ben. Dass Word­Press für die­se kon­kre­te Schwach­stel­le Back­ports bis Ver­si­on 4.7 bereit­stellt, soll­te nicht mit einer gene­rel­len akti­ven Unter­stüt­zung die­ser Ver­sio­nen ver­wech­selt wer­den.

Fazit: Word­Press 7.1.2 soll­te zeit­nah instal­liert wer­den

Word­Press 7.1.2 ist kein gewöhn­li­ches War­tung­s­up­date, son­dern ein rele­van­tes Sicher­heits­re­lease.
Die Ver­si­on schließt eine nicht authen­ti­fi­zier­te Path-Tra­ver­sal-Schwach­stel­le bei der Auf­lö­sung von Sei­ten-Tem­pla­tes, die laut Word­Press unter bestimm­ten Vor­aus­set­zun­gen zu Remo­te Code Exe­cu­ti­on füh­ren kann.

Da Word­Press selbst die sofor­ti­ge Aktua­li­sie­rung emp­fiehlt und die Schwach­stel­le zahl­rei­che älte­re Ver­si­ons­zwei­ge betrifft, soll­ten Web­site-Betrei­ber ihren Ver­si­ons­stand jetzt kon­trol­lie­ren und die jeweils abge­si­cher­te Ver­si­on instal­lie­ren.

Die nach­hal­ti­ge­re Lösung bleibt jedoch, Word­Press nicht dau­er­haft auf alten Ver­si­ons­zwei­gen zu betrei­ben. Regel­mä­ßi­ge Updates, Back­ups und Funk­ti­ons­kon­trol­len gehö­ren zu den Grund­la­gen eines pro­fes­sio­nel­len Word­Press-Betriebs.

Möch­test Du Dei­ne Word­Press-Web­site tech­nisch aktu­ell hal­ten und Sicher­heits­up­dates kon­trol­liert ein­spie­len las­sen?
Wir unter­stüt­zen Dich bei Word­Press-War­tung, Updates, tech­ni­scher Opti­mie­rung und der lau­fen­den Betreu­ung Dei­ner Web­site.
Sprich uns ger­ne an.

Herz­li­che Grü­ße
Dein Team von Stra­te­gie­pool