WordPress RCE CVE-2026-119977: Sofort auf 7.1.4 updaten

WordPress 7.1.4 schließt eine kritische Sicherheitslücke – Angreifer scannen bereits aktiv nach ungepatchten Websites.

Am 28. Oktober 2026 hat das WordPress Security Team Version 7.1.4 veröffentlicht. Sie schließt CVE-2026-119977, eine Remote-Code-Execution-Schwachstelle im WordPress Core, die alle Versionen von 4.7 bis 7.1.3 betrifft. Unauthentifizierte Angreifer können damit eine Website vollständig übernehmen – ohne Login, ohne Umwege.

Was das konkret bedeutet: – Jede ungepatchte WordPress-Installation ist ein offenes Angriffsziel – Angreifer scannen das Netz bereits automatisiert nach verwundbaren Versionen – Eine kompromittierte Website kann Kundendaten abgreifen, Malware verteilen oder als Spam-Relay missbraucht werden – Für Unternehmen folgen daraus DSGVO-Meldepflichten, Haftungsrisiken und Reputationsschäden

Das eigentliche Problem: Viele KMU wissen nicht, welche WordPress-Version ihre Website gerade betreibt – und wer überhaupt für das Update zuständig ist. Hosting-Anbieter spielen Core-Updates oft nicht automatisch ein, Agenturen sind nicht im laufenden Mandat, und intern fehlt die Kapazität.

Wer für seine WordPress-Website kein aktives Wartungsmandat hat, sollte das jetzt klären – bevor Angreifer die Lücke ausnutzen.

Was heißt das für Ihr Unternehmen?

Sie möchten wissen, ob Sie betroffen sind und was jetzt zu tun ist? Passend dazu: Website-Check & Shop-Check oder direkt im kostenlosen Erstgespräch (30 Minuten, remote).

Quelle: Wordfence