WordPress 7.1.1 stopft 11 Sicherheitslücken, zwei kommen von Anthropic

Das WordPress-Kernteam hat am 17. September 2026 die Version 7.1.1 als Sicherheits- und Wartungsupdate veröffentlicht. Elf Sicherheitslücken sind geschlossen, dazu 17 Bugs im Core und 19 im Block-Editor. Zwei der gemeldeten Lücken kommen vom KI-Unternehmen Anthropic. Die offizielle Empfehlung ist eindeutig: sofort updaten.

Was 7.1.1 mitbringt

Version 7.1.1 folgt drei Wochen nach dem Major-Release Mary Lou (7.1, 19. August 2026) und ist ein reines Zwischen-Update. Der nächste große Sprung ist für Dezember geplant, dann kommt 7.2. Bis dahin trägt 7.1.1 die aktuelle Linie.

Verteilt sind die Fixes so: 11 Sicherheits-Patches, 17 Bug-Fixes im Core und 19 Bug-Fixes im Block-Editor. Wer Auto-Updates aktiviert hat, sieht in der Regel schon keine Aktion mehr, WordPress installiert die 7.1.1 im Hintergrund. Alle anderen Installationen sollten heute manuell nachziehen. Das Kernteam betont im Release-Post: „Because this is a security release, it is recommended that you update your sites immediately.“

Die elf Sicherheitslücken im Klartext

Das WordPress-Security-Team hat die Meldungen in seinem Release-Blog aufgeführt. Die relevantesten davon:

• Stored XSS in wpautop(): Ein nicht angemeldeter Besucher kann per Kommentar Script-Code einschleusen. Die Kommentar-Freigabe ist zwar dazwischengeschaltet, aber sobald jemand freischaltet, ist das Skript aktiv. Gemeldet von Rafie Muhammad (Awesome Motive).
• Authenticated Path Traversal im REST-Templates-Controller: Gemeldet von Anthropic.
• Contributor+ Arbitrary Post Overwrite: Ein Nutzer auf Autoren-Level oder darüber kann fremde Beiträge überschreiben. Ebenfalls gemeldet von Anthropic.
• HTML-API-Ausbruch aus Kommentaren über abrupte Schließsequenzen in set_modifiable_text() und ein Stored XSS in einigen Themes mit Custom-Header-Funktion. Beide gemeldet von Jeremy Felt aus dem WordPress-Security-Team.
• Ungeprüfte Theme-Installation über präparierte URLs: Speziell konstruierte Links installieren und aktivieren eine Theme-Vorschau aus dem WordPress.org-Verzeichnis, ohne dass der Admin es aktiv freigibt. Gemeldet von Paulos Yibelo und pwn.ai.
• XML-RPC-Bypass für edit_css: Über XML-RPC lassen sich customize_changeset-Posts veröffentlichen, die den edit_css-Check umgehen. Gemeldet von Ben Bidner (Security-Team).
• Site-Admin aktiviert Network-only-Plugin: Ein einzelner Site-Admin einer Multisite kann ein Plugin, das eigentlich nur netzwerkweit aktivierbar sein sollte, doch aktivieren. Gemeldet von Jesse McNeil.
• Kleinere Info-Leaks: Titel privater Elternposts über attachment_submitbox_metadata() (HDWSec), Draft- und Pending-Slugs für Contributor+ (Jakub Herman), sowie das Umhängen von Kommentaren durch beliebige eingeloggte Nutzer (Justin Hart, Viridis Security).

Ergebnis: eine Mischung aus klassischen XSS- und Auth-Fehlern, dazu eine handvoll Rechteprüfungen, die zu locker waren. Kein Zero-Day, aber Themen, die in Sicherheitsaudits regelmäßig auf Platz eins landen.

Warum Anthropic in der Danksagung steht

Zwei der elf Fundstellen werden Anthropic zugeschrieben: die Path-Traversal-Lücke im REST-Templates-Controller und der Contributor-Overwrite. Anthropic ist der Anbieter der Claude-Modelle und meldet Schwachstellen in Open-Source-Projekten in der Regel dann, wenn seine internen Security-Teams eigene KI-gestützte Codeanalysen laufen lassen. Dass eine KI-Firma inzwischen zu den regelmäßigen Meldern für den WordPress-Kern gehört, ist eher Vorbote als Ausnahme: KI-basiertes Code-Fuzzing schlägt bei WordPress-Plugins schon seit dem CISPA-Fuzzer THEMIS-Bericht Anfang September durch, jetzt kommt der Core dran.

Backports und ältere Zweige

Das Security-Team backportet die Fixes für alle Zweige, die noch Security-Support bekommen, laut Release-Post reicht das bis 4.7 zurück. Wichtig zu wissen: aktiv gepflegt wird trotzdem nur die aktuelle Version, alle anderen bekommen ausschließlich Security-Backports und keine Feature-Updates. Wer produktiv auf 6.x oder älter läuft, sollte spätestens jetzt einen Migrationspfad auf 7.1.1 einplanen.

Was heute konkret zu tun ist

• Auto-Update prüfen. Im Dashboard unter Aktualisierungen muss 7.1.1 stehen. Wenn nicht, den Button „Jetzt aktualisieren“ drücken.
• Multisites doppelt checken. Die Network-Plugin-Lücke betrifft speziell Multi-Site-Installationen. Nach dem Update im Netzwerk-Backend die aktiven Plugins gegenprüfen.
• Kommentar-Warteschlange durchsehen. Die wpautop()-Lücke wirkt erst nach Freigabe eines präparierten Kommentars. Vor dem Update in der Moderations-Queue nichts blind approven.
• Backup vor dem Update. Standard, wird oft ausgelassen. 5 Minuten Aufwand, spart im Fehlerfall Stunden.
• Kundensites checken. Wer als Webdesigner mehrere WordPress-Instanzen betreut, sollte heute eine Runde durch die Kunden-Dashboards drehen. Genau solche Update-Runden sind ein Grund, warum Agenturen laufende Pflege-Verträge verkaufen: Webdesign-Leads von findflix zeigt dir, wie du diese Kundenbeziehung von Anfang an aufsetzt.

Der Release-Post nennt als Release-Leads Aaron Jorbin, Adam Silverstein, Adrian Duffell und Andrei Draganescu. Beteiligt waren rund hundert Contributors, dazu Automattic, Bluehost, GoDaddy, Pantheon und WP Engine.