WordPress-Sicherheitslücke: Core-Update Ihrer Praxiswebsite prüfen

Dieser Artikel wurde mithilfe generativer KI automatisch aus Fremdquellen zusammengefasst, überarbeitet, ergänzt oder aktualisiert und noch nicht von einem Menschen redaktionell geprüft oder freigegeben. Er kann Fehler enthalten. Mehr zu unserem Umgang mit KI.

Wenn Ihre Praxiswebsite mit WordPress läuft, könnte die jetzt angegriffene Sicherheitslücke zur Veränderung Ihrer Seiten oder zur Störung Ihres öffentlichen Kontaktwegs führen. Am 30. Oktober wurden Angriffsversuche auf den bereits behobenen Fehler gemeldet. Damit Ihr Kontaktweg verlässlich nutzbar bleibt, lassen Sie jetzt für Ihre Domain die Aktualisierung der WordPress-Kernsoftware bestätigen – eine allgemeine Zusicherung, dass „Updates laufen“, reicht dafür nicht.

Was an der WordPress-Sicherheitslücke neu ist

WordPress hat am 28. Oktober die Version 7.1.4 veröffentlicht. Sie behebt unter anderem einen Fehler im Aktualisierungsvorgang, der Angreifern die Ausführung fremden Codes ermöglichen kann. Das Risiko besteht dabei während eines Aktualisierungsvorgangs, nicht ständig beim normalen Seitenaufruf.

Neu ist der berichtete Angriffsversuch: NHS England warnte am 30. Oktober vor Scans und Ausnutzungsversuchen. Der Sicherheitsanbieter Previdian dokumentiert außerdem eigene Sensorbeobachtungen. Solche Anfragen belegen noch keinen erfolgreichen Einbruch und keinen Angriff auf Ihre konkrete Praxiswebsite.

Welche Antwort Sie vom Dienstleister brauchen

Ist Ihnen nicht bekannt, womit Ihre Website betrieben wird, lassen Sie zuerst das eingesetzte System klären. Die folgende Anfrage können Sie Ihrer Agentur oder Ihrem technischen Betreiber schicken:

Bitte prüfen Sie für unsere Domain, ob WordPress eingesetzt wird und ob die im Sicherheitsrelease 7.1.4 behobene Lücke im Aktualisierungsvorgang geschlossen ist. Bestätigen Sie die installierte Core-Version beziehungsweise das passende Sicherheitsupdate einer älteren Versionslinie sowie den Zeitpunkt der Umsetzung. Falls die Korrektur noch fehlt: Wer setzt sie wann um?

„Core“ bezeichnet die WordPress-Kernsoftware. Ein aktualisiertes Plugin allein beantwortet diese Frage nicht. Auch bei betreutem Hosting sollten Sie die tatsächlich erfolgte Installation bestätigen lassen; ein eingeschalteter Updateautomatismus ist noch kein Abschlussnachweis.

NHS England empfiehlt 7.1.4 oder das passende Sicherheitsupdate der verwendeten älteren Linie. WordPress kündigt solche Rückportierungen bis zur Linie 4.7 an; laut Release-Mitteilung werden sie nach Fertigstellung ausgeliefert. Lassen Sie deshalb den tatsächlich verfügbaren und installierten Fix Ihrer Linie bestätigen. Dauerhaft aktiv unterstützt wird nur die jeweils neueste Version; besprechen Sie für eine alte Linie auch den Wechsel dorthin.

So handeln Sie nach der Rückmeldung

Ist die Korrektur für Ihre Domain bestätigt, bewahren Sie die Antwort auf und prüfen Sie Ihre öffentlichen Kontakt- und Terminwege auf Funktion. Nehmen Sie nicht zusätzlich auf eigene Faust technische Umstellungen vor. Fehlt die Korrektur oder bleibt die Antwort unklar, beauftragen Sie den Dienstleister unverzüglich mit der Klärung und Umsetzung. Eine Website mit einem anderen System ist von dieser WordPress-Core-Lücke nicht betroffen.

Haben Sie unbekannte Benutzerkonten oder veränderte Seiten bemerkt, bitten Sie zusätzlich um eine Vorfallprüfung. Ein Update allein beantwortet nicht, ob zuvor ein Zugriff stattgefunden hat.

Diese Meldung betrifft einen anderen Fehler als die kürzlich beschriebenen PHP-Sicherheitslücken Ihrer Praxiswebsite. WordPress-Core und die darunterliegende PHP-Software benötigen jeweils ihren eigenen Korrekturstand; die Bestätigung für eines der beiden Systeme ersetzt die andere nicht.

Quellen und Stand

Geprüft am 31. Oktober 2026. Die Meldung richtet sich an Verantwortliche von WordPress-Praxiswebsites, nicht pauschal an jede Praxis-IT.