LONDON (IT BOLTWISE) – Beim Absichern aktiv ausgenutzter WordPress-Lücken gibt es offenbar ein kurzes Update-Fenster, in dem bestimmte Seiten noch angreifbar bleiben können. Verantwortlich ist die Art, wie der Fix im Hintergrund ein temporäres Installationspaket entpackt. Der Forscher Umut Bayram empfiehlt deshalb, den Webzugriff auf wp-content/upgrade bis zum Abschluss der Aktualisierung strikt zu blockieren. Zusätzlich listet CISA CVE-2026-119977 als bekannte ausgenutzte Schwachstelle.
Die Sicherheitslage rund um WordPress bekommt mit CVE-2026-119977 eine neue Dimension, weil nicht nur die eigentliche Schwachstelle zählt, sondern auch das Verhalten während des Patches. Nach Angaben des Sicherheitsexperten Umut Bayram (Picus Security) können bestimmte WordPress-Installationen selbst dann noch für kurze Zeit angegriffen werden, wenn sie gerade den Fix für eine aktiv ausgenutzte Lücke einspielen. Der Kern des Problems liegt nicht in der Existenz des Fixes an sich, sondern in der Update-Implementierung: Das Update entpackt seine Dateien weiterhin unter Verwendung von älteren, auf der betroffenen Seite bereits vorhandenen Codepfaden.
Damit entsteht eine zeitkritische Angriffsoberfläche. Bei einem Core-Update mit vollständigem Paket entpackt WordPress eine Kopie der neuen Version in einen temporären Ordner unter wp-content/upgrade. Diese Kopie enthält auch den WordPress-Installer; sofern der Webserver diesen Speicherort erreichen kann, wird das Installer-Verzeichnis während des Updates potenziell erreichbar. Für einen Angreifer ist entscheidend, dass er den Ordnernamen vor dem Löschen der temporären Kopie bestimmen und anschließend ohne Account und mit gezielten Timing das Installer-Setup so nutzen kann, dass Code auf dem Server ausgeführt wird.
Die Lücke betrifft WordPress-Versionen von 4.7 bis 7.1.3. Der Fix wurde laut WordPress zuletzt in Version 7.1.4 sowie in passenden Updates für ältere Branches bereitgestellt. Technisch verschiebt WordPress dafür zwar die Zielgröße: Der temporäre Ordner soll anschließend zufällig benannt werden, und spätere Updates sollen mit dieser neuen Zufallsbenennung arbeiten. Bayram betont aber, dass genau diese Zufallsbenennung erst dann über den kompletten Updatepfad „greift“, wenn das Fix-Update installiert wurde. Während der Installation selbst werden die Entpackschritte noch mit dem alten Code durchgeführt, wodurch ein Angreifer den Ordnernamen in bestimmten Konstellationen „einmalig“ noch vorhersagen kann.
Besonders relevant ist die Frage, wer beim Update tatsächlich exponiert ist. Bayram differenziert dabei zwischen kompletten Update-Paketen und kleineren partiellen Paketen. Vollständige Pakete enthalten den Installer stets, während ein partielles Paket nur dann riskant ist, wenn es in der konkreten Versionstruktur auch die Installerdateien mitliefert. Auch automatische Hintergrundupdates erhöhen die Komplexität: Wenn WordPress Updates ohne Benutzerinteraktion anstößt, läuft der Vorgang über denselben Updater und ähnliche Schritte wie bei manuell gestarteten Installationen. Praktisch heißt das: Für Administratoren ergibt sich nicht automatisch „alles sicher“, sobald der Updateprozess gestartet ist; vielmehr muss man die währenddessen erreichbaren Pfade zusätzlich absichern.
Der Forscher beschreibt außerdem, wie sich das Risiko vor dem Fix über wp-config.php konkretisieren konnte. Vor der Absicherung konnte ein Angreifer den Installer nutzen, um eine neue Konfiguration (wp-config.php) in die temporäre Kopie zu schreiben; beim anschließendem Update überschreibt WordPress dann die echte Konfiguration mit dieser manipulierten Datei. Laut Bayrams Darstellung stoppt der Fix diesen Mechanismus im späteren Installationsschritt bereits, weil WordPress die Dateien während des Einspielens nun mit dem neuen Code an die finale Position kopiert. Allerdings bleibt ein kurzes Zeitfenster bestehen, in dem ein Angreifer während des Update-Vorgangs eine eigene Datenbankkonfiguration im temporären Setup anlegen, sich einloggen und PHP-Code mit den Berechtigungen des Webservers ausführen kann, bevor die temporäre Kopie wieder gelöscht wird.
Für die Absicherung liefert Bayram eine klare, sofort umsetzbare Empfehlung: den Webserverzugriff auf wp-content/upgrade konsequent blockieren, bevor das Update beginnt. Da WordPress mit diesem Verzeichnis direkt auf der Festplatte arbeitet, soll die Blockade die Aktualisierung nicht stören. Bei Nginx nennt er eine deny-Regel für den Pfad „/wp-content/upgrade/“; für Apache empfiehlt er eine „Require all denied“-Konfiguration in einem passenden -Block im virtuellen Host. Ist nur.htaccess editierbar, kann eine RedirectMatch-403-Route oberhalb der WordPress-Rewrite-Regeln in der WordPress-Installation greifen. Wichtig ist dabei auch eine zweite Nuance: Keine.htaccess-Datei in wp-content/upgrade selbst platzieren, weil der alte Updater den Ordner beim Entpacken zunächst leert und die Datei dann möglicherweise genau dann fehlt, wenn sie gebraucht wird.
Auch jenseits der technischen Details ist die Markt- und Lageeinordnung spannend. CISA hat CVE-2026-119977 laut Bericht bereits Anfang der Woche in seinen Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Parallel berichten Sicherheitsanbieter, dass die ersten Attacken nach dem Release sehr schnell einsetzten: Ein Sicherheitsunternehmen ordnete in der eigenen CVE-Auswertung einen Zeitraum von nur wenigen Sekunden im Testfenster ein und verknüpfte die Beobachtungen mit automatisierten Versuchen, den Updatezeitpunkt zu erwischen. Für Administratoren folgt daraus eine einfache Priorisierung: Erstens auf 7.1.4 bzw. die gepatchten Branch-Varianten aktualisieren, zweitens die Erreichbarkeit von wp-content/upgrade während der Aktualisierung hart unterbinden, und drittens nach dem Update gezielt auf Anzeichen zu prüfen. Dazu zählen unerwartete Requests auf PHP-Dateien unter wp-content/upgrade, unerklärte Administrator-Accounts, Plugins, die niemand installiert hat, sowie PHP-Dateien in wp-content/upgrade, die zuvor nicht dort waren.
Wer überlegt, ob Tools wie WP-CLI helfen: Bayram stellt klar, dass „wp core update“ nicht automatisch als risikofrei gilt, weil dabei dieselben Updater-Schritte genutzt und die Pakete in denselben temporären Speicherort entpackt werden. Als Alternative empfiehlt er einen manuellen Update-Workflow außerhalb des Webroots: Backup von Dateien und Datenbank, Entpacken der neuen Release-Dateien in einen Ordner, den der Webserver nicht bedient, anschließend das Kopieren der Core-Dateien ohne anfassen von wp-config.php bzw. wp-content in der Art, dass keine temporären Installer-Strukturen im erreichbaren Pfad entstehen. Danach folgt der Datenbank-Update-Schritt über WordPress. Für ältere Versionen unter 4.6 gilt zusätzlich: Sie erhalten laut Darstellung keine Sicherheitsupdates mehr, der sicherste Weg ist daher die Migration auf eine unterstützte Version.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "WordPress-Update-Fenster: Fix gegen CVE-2026-119977 schützt nicht sofort alle Seiten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "WordPress-Update-Fenster: Fix gegen CVE-2026-119977 schützt nicht sofort alle Seiten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »WordPress-Update-Fenster: Fix gegen CVE-2026-119977 schützt nicht sofort alle Seiten« bei Google Deutschland suchen, bei Bing oder Google News!