WordPress Update-Lücke CVE-2026-119977 aktiv ausgenutzt

CVE-2026-119977 macht das Update selbst zum Angriffsfenster: Die WordPress Update-Lücke steht seit 3. November in der CISA-KEV. Was jetzt zu tun ist.

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Die WordPress Update-Lücke CVE-2026-119977 dreht die gewohnte Logik um: Nicht die veraltete Installation ist das Problem, sondern der Moment, in dem sie aktualisiert wird. CISA hat die Schwachstelle am 3. November 2026 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. US-Bundesbehörden müssen bis zum 6. November 2026 reagieren. Für alle anderen ist das ein deutliches Signal: Hier wird wirklich angegriffen, nicht nur theoretisch gewarnt.

Was bei der WordPress Update-Lücke technisch passiert

Bei einem Core-Update mit vollständigem Paket entpackt WordPress die neuen Dateien in ein Verzeichnis, das vorhersagbar ist und über das Web erreichbar bleibt. Genau in diesem kurzen Fenster liegt der Angriffspunkt. Wer das Wettrennen gegen das Entpacken gewinnt, kann Code auf dem Server ausführen – ohne Konto, ohne Login.

Formal ist das eine TOCTOU-Race-Condition (CWE-367), also eine Lücke zwischen Prüfung und Verwendung einer Datei. Die NVD führt CVE-2026-119977 mit dem CVSS-Wert 8.1 der CVE-Vergabestelle Wordfence und nennt als betroffene Versionen WordPress 4.7 bis 7.1.3. Behoben ist der Fehler in 7.1.4, erschienen am 28. Oktober 2026. Das Projekt hat den Fix zusätzlich auf alle Zweige bis zurück zu 4.7 rückportiert – in der Praxis also auch auf 7.0.8, 6.9.11 oder 4.7.39.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Ich werte aus, ob du den Newsletter öffnest und Links anklickst, um ihn zu verbessern. Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Angriffe laufen seit der Veröffentlichung

Wordfence beobachtete in den ersten 21 Stunden nach der Offenlegung mehr als 18.500 Anfragen auf die gestagten Installer-Pfade rund um setup-config.php. Der Live-Zähler auf der Threat-Intel-Seite des Unternehmens stand beim Abruf durch The Hacker News am 4. November bei 12.632 blockierten Versuchen in 24 Stunden; der Wert läuft mit, andere Abrufe nennen höhere Zahlen. Previdian berichtet zusätzlich von drei beobachteten Ausnutzungsversuchen in eigenen Honeypots am 30. Oktober, ausgehend von einer IP-Adresse in Großbritannien. Beide Zahlenlieferanten haben ein eigenes Produktinteresse. Das Muster ist trotzdem klar: Die Scanner suchen gezielt Server, die gerade mitten im Update stehen.

Was das für dich bedeutet

Diese WordPress Update-Lücke ist unangenehm, weil sie eine Gewohnheit bestraft, die sonst richtig ist: schnell patchen. Das Zeitfenster ist kurz, und der Angreifer muss es treffen. Deshalb ist Panik unangebracht. Automatisierung auf Angreiferseite senkt die Schwelle aber erheblich. Die beobachteten Scanner setzen dabei nicht auf Tempo, sondern auf Ausdauer: Wordfence sah Absender, die über rund 14,5 Stunden hinweg immer wieder dieselben Seiten abfragten, bis ein Update-Fenster traf.

Aus CISO-Sicht ist die eigentliche Lehre eine andere. Update-Vorgänge gelten meist als neutrale Wartung, nicht als sicherheitskritische Operation mit eigenem Angriffsfenster. In 25 Jahren IT habe ich kaum ein Change-Fenster gesehen, in dem der Change-Vorgang selbst Teil der Bedrohungsmodellierung war. Genau das ändert dieser Fall. Wer Updates ohne jede Absicherung gegen gleichzeitige Zugriffe von außen fährt, nimmt ein Risiko in Kauf, das in keiner CVE-Liste des Zielsystems steht.

Konkret zu tun: der Praxis-Tipp

Jetzt auf 7.1.4 updaten – oder auf die gepatchte Version des eigenen Zweigs. Danach ist der fehlerhafte Entpack-Pfad weg.
Das letzte Update absichern: vorher ein vollständiges Backup, dann Wartungsmodus oder eine kurze HTTP-Sperre für fremde IP-Adressen, erst dann aktualisieren. So läuft das Rennen gegen niemanden.
Logs prüfen: Suche im Webserver-Log nach Anfragen auf setup-config.php und auf Pfade unterhalb von wp-content/upgrade/. Treffer rund um dein letztes Update sind ein Grund für eine genauere Prüfung. CISA markiert diesen Eintrag ausdrücklich als Fall mit forensischer Triage-Pflicht. Verbindlich ist das für US-Bundesbehörden, als Hinweis auf die Schwere gilt es für jeden.
Nicht nur den Core zählen: Mehrere Installationen liegen oft auf demselben Webserver. Eine Seite reicht als Einstieg.

Wer dabei merkt, dass das Backup vor dem Update eigentlich keines war, zieht das zuerst gerade. Worauf es bei einer brauchbaren Offline-Kopie ankommt, steht in meinem Ratgeber zu verschlüsselten USB-Sticks und externen SSDs.

Ein Widerspruch, der auffällt

Die Bewertungen gehen auseinander. Das GitHub-Advisory des WordPress-Projekts stuft die Lücke als „Low“ ein und nennt dort keine CVE-Nummer. Wordfence als CVE-Vergabestelle kommt auf CVSS 8.1, also „High“, und die NVD übernimmt diesen Wert. Beides ist nachvollziehbar: Die hohe Angriffskomplexität drückt die Einstufung, die Folge – Codeausführung ohne Login – treibt sie hoch. Für die Praxis entscheidet die KEV-Aufnahme, denn sie belegt Ausnutzung im Feld. Ähnlich lief es schon bei CVE-2026-87902, wo die Angriffe am Tag des Patches begannen.

Quellen

Newsletter

Mehr Klartext, direkt ins Postfach

Neue Analysen zu Security, KI und Crypto per Mail – zum Einstieg die AD-Checkliste mit 12 Sofortmaßnahmen als PDF.

Zur Anmeldung

WordPress Update-Lücke CVE-2026-119977: CISA setzt Frist zum 6. November