Eine schwere WordPress-Lücke wird aktiv ausgenutzt – sogar während des Updates, das sie eigentlich beheben soll. Das müssen Sie jetzt prüfen.
Wer eine Website oder einen Onlineshop mit WordPress betreibt, sollte jetzt genauer hinsehen – diesmal reicht der übliche Rat "einfach updaten" nicht aus. Eine schwerwiegende Sicherheitslücke namens CVE-2026-119977 erlaubt es Angreifern, den Server zu übernehmen – sogar während des Updates, das die Lücke eigentlich schliessen soll. Seit 48 Stunden kursiert öffentlicher Exploit-Code, und die US-Behörde CISA bestätigt aktive Angriffe.
Was genau passiert
Es handelt sich um eine Race-Condition im Update-Mechanismus des WordPress-Kerns – technisch ein "time-of-check time-of-use"-Problem (TOCTOU) – betroffen sind alle Versionen von 4.7.0 bis 7.1.3. Behoben wurde die Lücke in Version 7.1.4. Laut den Forschern, die sie entdeckt haben, kann ein Angreifer ohne Login den exakten Moment abpassen, in dem ein Core-Update Dateien entpackt, und so Schadcode auf dem Server ausführen (Quelle).
Die CISA hat CVE-2026-119977 am 3. November 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen und bestätigt damit Angriffe in freier Wildbahn. Sie fordert alle Organisationen, auch private Unternehmen, auf, das Patchen zur obersten Priorität zu machen (Quelle).
Der Haken: Auch das Updaten selbst ist nicht ganz sicher
Hier wird es besonders unangenehm. Selbst wer den offiziellen Fix installiert, kann noch ein weiteres Mal getroffen werden. Der Grund: Das Update-Paket, das den Fix installiert, wird selbst noch mit dem alten, verwundbaren Updater-Code entpackt. Ein Angreifer, der den richtigen Moment während dieses Vorgangs erwischt, kann trotzdem Code auf dem Server ausführen (Quelle).
Das bedeutet: Der übliche Rat "einfach patchen" reicht nicht mehr. Sie müssen sowohl updaten als auch den Update-Vorgang selbst absichern.
Das sollten Sie heute tun
- Sperren Sie den Webzugriff auf den Ordner wp-content/upgrade auf Serverebene, bevor Sie irgendein Update starten. WordPress muss diesen Ordner nie über HTTP ausliefern – das Sperren schliesst das Angriffsfenster, ohne etwas zu beschädigen. Das machen Sie über Ihre Webserver-Konfiguration (Apache .htaccess oder Nginx-Regel), und zwar bevor Sie auf "Update" klicken.
- Updaten Sie auf WordPress 7.1.4 oder neuer, sobald der Upgrade-Ordner gesperrt ist.
- Prüfen Sie jetzt Ihre WordPress-Version. Läuft Ihre Seite noch mit einer Version zwischen 2.7 und 4.6, gibt es keinen Patch dafür – diese Versionen werden nicht mehr unterstützt. Einzige Lösung ist ein vollständiges Upgrade auf eine unterstützte Version, kein einfaches Update (Quelle).
- Kontrollieren Sie auch Plugins und Themes – eine unauthentifizierte Schwachstelle mit Remote-Code-Ausführung wie diese ist genau das, wonach automatisierte Scan-Bots innerhalb von Stunden nach Veröffentlichung eines Exploits suchen.
- Prüfen Sie Ihre Server-Logs auf ungewöhnliche Aktivität rund um den wp-content/upgrade-Ordner der letzten Woche, besonders wenn Sie kürzlich ein Update durchgeführt haben, ohne den Ordner vorher zu sperren.
Warum das für Schweizer KMU besonders relevant ist
WordPress betreibt einen grossen Teil der Schweizer KMU-Websites und Onlineshops – oft einmal eingerichtet und danach kaum noch gewartet. Genau dieses Profil suchen Angreifer gerade: unauthentifizierter Zugriff auf Serverebene, kein Passwort nötig. Wenn Ihre Website Bestellungen, Buchungen oder Zahlungsdaten verarbeitet, ist eine unsauber gepatchte WordPress-Installation eine direkte Einfallstür in Ihr Unternehmen.
Das zeigt auch: Sicherheitslücken-Management ist keine einmalige Aufgabe. Schwachstellen wie CVE-2026-119977 tauchen regelmässig auf, und die Zeitspanne zwischen Bekanntwerden und aktiver Ausnutzung wird immer kürzer – in diesem Fall nur wenige Tage. Unternehmen, die darauf hoffen, dass jemand zufällig an das Update denkt, sind bereits im Rückstand.
Wir beobachten dieses Themenfeld laufend und berichten weiter über die Schwachstellen, die für Schweizer Unternehmen wirklich relevant sind – nicht jede CVE, sondern jene, die aktuell echte Websites und Server gefährden. Wer diese Überwachung, das Patchen und die Serverhärtung nicht selbst nebenbei erledigen möchte, findet bei Flitz.ai und The Mejlerö Company Unterstützung: IT-Support vor Ort und remote für Unternehmen in Obwalden, Nidwalden, Luzern und Zürich, inklusive Sicherheits-Grundlagen wie Endpoint-Schutz und Zwei-Faktor-Authentifizierung. Eine kostenlose Netzwerk-Analyse und eine kostenlose 1-Stunden-Beratung sind ein guter Startpunkt, um die eigene Lage einzuschätzen.
Schweiz.