WordPress-Update kann Angriff auf ungepatchte Sites noch einmal öffnen
WordPress-Sites können während der Installation des Sicherheitsupdates für CVE-2026-119977 weiterhin angegriffen werden. Das berichtet The Hacker News am 6. November unter Berufung auf den Sicherheitsforscher Umut Bayram von Picus Security. Die Schwachstelle betrifft WordPress 4.7 bis 7.1.3; CISA hat sie laut dem Bericht wegen beobachteter Ausnutzung in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen.
Das Risiko entsteht, weil der alte, noch verwundbare Updater die Dateien des neuen Releases zunächst in wp-content/upgrade entpackt. Diese temporäre Kopie enthält den WordPress-Installer und ist normalerweise über den Webserver erreichbar, schreibt Bayram in seiner technischen Analyse. Ein Angreifer ohne Benutzerkonto kann den Namen des temporären Ordners ermitteln und den Installer aufrufen, bevor WordPress die Kopie löscht. Dadurch kann er eine eigene Datenbank konfigurieren und PHP-Code mit den Rechten des Webservers ausführen.
WordPress hat die Lücke in Version 7.1.4 und in entsprechenden Updates für ältere Entwicklungszweige behoben, heißt es in dem Bericht. Der korrigierte Updater erzeugt für den temporären Ordner einen zufälligen Namen und verhindert, dass eine wp-config.php aus der temporären Kopie die echte Konfigurationsdatei ersetzt. Erst nach der Installation der korrigierten Version verwenden spätere Updates den neuen Ablauf.
Zugriff vor dem Update sperren
Bayram empfiehlt, den Webzugriff auf wp-content/upgrade vor dem Update vollständig zu blockieren. WordPress greift laut seiner Empfehlung direkt auf das Verzeichnis auf der Festplatte zu, sodass diese Sperre den Updatevorgang nicht unterbricht. Betreiber sollen anschließend prüfen, dass eine Anfrage an /wp-content/upgrade/ den HTTP-Status 403 zurückgibt.
Für Nginx nennt der Forscher eine deny-Regel für den Pfad, für Apache eine Sperre mit Require all denied. Wer nur .htaccess bearbeiten kann, soll laut dem Bericht RedirectMatch 403 ^/wp-content/upgrade/ oberhalb der WordPress-Rewrite-Regeln eintragen. Eine .htaccess-Datei direkt in wp-content/upgrade soll dort nicht abgelegt werden, weil der alte Updater den Inhalt des Verzeichnisses vor dem Entpacken löscht.
Eine manuelle Aktualisierung außerhalb des vom Webserver ausgelieferten Verzeichnisses ist laut Bayram ebenfalls möglich. WP-CLI ersetzt den Schutz nicht, weil der Befehl denselben Updater und dasselbe temporäre Verzeichnis verwendet. WordPress 4.6 und ältere Versionen erhalten laut dem Bericht keine Sicherheitsupdates; für diese Installationen gibt es daher keinen Fix für die Schwachstelle.
Wordfence beobachtete laut The Hacker News Angriffsanfragen bereits neun Minuten nach der Veröffentlichung einer Firewall-Regel für die Lücke. Die beiden aktivsten Quellen prüften demnach rund 14,5 Stunden lang kleine Gruppen von Sites. Für noch ungepatchte Installationen nennt der Bericht als mögliche Spuren unerwartete Anfragen an PHP-Dateien unter wp-content/upgrade, unbekannte Administratorkonten und nicht erwartete PHP-Dateien in diesem Verzeichnis.