Die WordPress-Entwickler haben am Mittwoch, 28. Oktober, Sicherheitsupdates veröffentlicht. Laut heise online listet die Ankündigung zu WordPress 7.1.4 knapp zwei Dutzend Schwachstellen auf. Die Korrekturen wurden auch auf zahlreiche ältere Versionszweige zurückportiert, darunter 7.0.8, 6.9.11 und 6.8.12.
Besonders kritisch ist eine Lücke im Update-Mechanismus des WordPress-Kerns. Dieser verwendet beim Einspielen von Core-Updates einen vorhersehbaren, aus dem Internet erreichbaren Pfad. Nicht angemeldete Angreifer können dadurch während eines laufenden Upgrades Schadcode einschleusen und ausführen. Die Schwachstelle ist mit CVSS 8.1 als hohes Risiko eingestuft.
Das klingt zunächst exotisch, weil Angreifer ein Wettrennen gegen den Installationsvorgang gewinnen müssen; in Laborumgebungen war das Staging-Verzeichnis nur Sekunden verfügbar. Die auf WordPress spezialisierte Sicherheitsfirma Wordfence hat nach heise-Angaben jedoch bereits kurz nach Veröffentlichung der Updates aktive Angriffsversuche registriert.
Laut WordPress.org beheben die Updates zudem unter anderem gespeicherte Cross-Site-Scripting-Lücken. Administratoren sollten prüfen, ob automatische Hintergrund-Updates gegriffen haben, und andernfalls manuell aktualisieren.
