Das NCSC hat vor zwei Sicherheitslücken im WordPress Core gewarnt und empfiehlt dringend, die verfügbaren WordPress Core Updates so schnell wie möglich einzuspielen. Besonders kritisch: Kurz nach der Veröffentlichung wurde bereits missbräuchliche Nutzung beobachtet. Wer WordPress für eine Website einsetzt, sollte daher jetzt handeln, um das Risiko von Angriffen deutlich zu senken.
Im Folgenden finden Sie die wichtigsten Informationen zu den betroffenen Versionen, den möglichen Folgen und konkreten nächsten Schritten für Betreiber.
Warum die WordPress Core Updates so dringend sind
Die beiden gemeldeten Schwachstellen wurden durch Sicherheitsupdates geschlossen. Die Sicherheitslage wird als ernst eingestuft. Grund dafür ist nicht nur das technische Schadpotenzial, sondern auch die Tatsache, dass nach der Veröffentlichung bereits Aktivitäten zur Ausnutzung festgestellt wurden.
Gerade weil WordPress sehr verbreitet ist, können erfolgreiche Angriffe schnell zu größeren Auswirkungen führen. Eine zeitnahe Aktualisierung ist daher ein zentraler Bestandteil Ihrer Sicherheitsstrategie.
Welche Sicherheitslücken betroffen sind
Die Schwachstellen wurden unter den Kennungen CVE-2026-60137 und CVE-2026-63030 erfasst. Die Bewertung der Auswirkungen ist unterschiedlich: Eine der Lücken besitzt eine deutlich höhere Kritikalität (mit der höheren CVSS-Einschätzung), was die Dringlichkeit der Updates noch verstärkt.
Schadcode-Ausführung über speziell gestaltete HTTP-Anfragen
Die schwerwiegendere Lücke (CVE-2026-63030) kann es einem Angreifer ermöglichen, schädlichen Code auszuführen. Entscheidend ist dabei: Das soll ohne vorherige Anmeldung möglich sein. Der Angriff läuft über ein speziell konstruiertes HTTP-Verhalten bzw. HTTP-Anfragen ab.
Erhöhtes Risiko durch zweite Schwachstelle
Die zweite Lücke (CVE-2026-60137) trägt dazu bei, dass Missbrauch wahrscheinlicher wird bzw. das Risiko insgesamt steigt. Gemeinsam erhöhen beide Schwachstellen das Gefahrenbild deutlich.
Was kann bei einem erfolgreichen Angriff passieren?
Wenn ein Angreifer eine Schwachstelle ausnutzen kann, sind verschiedene Folgen möglich. Dazu gehören insbesondere:
- Übernahme der Website durch den Angreifer
- Diebstahl von Daten
- Störung oder Ausfall der Website (Dienstunterbrechung)
Solche Vorfälle wirken sich häufig nicht nur technisch aus. In der Praxis kommen oft auch Ausfallzeiten, Reputationsschäden und teure Aufwände zur Wiederherstellung hinzu.
Welche WordPress-Versionen verwundbar sind
Das NCSC nennt klar, welche Versionen betroffen sind und welche Updates das Problem beheben. Prüfen Sie zuerst Ihre installierte Version, bevor Sie ein Update planen.
WordPress 6.9
WordPress 6.9 ist durch beide Sicherheitslücken betroffen. Ab Version 6.9.5 sind beide Schwachstellen behoben.
WordPress 6.8
WordPress 6.8 ist nur für die erste der beiden Schwachstellen anfällig. Ab Version 6.8.6 ist auch dieses Leck geschlossen.
WordPress 7.1 Beta
Die Betaversion von WordPress 7.1 ist ebenfalls verwundbar. Für dieses Stadium gilt: Mit WordPress 7.1 beta2 sind beide Lücken behoben.
WordPress 7 (7.0.2 und darunter)
Bestimmte WordPress-7-Varianten, insbesondere Versionen bis einschließlich 7.0.2, gelten als verwundbar für beide genannten Schwachstellen.
Ältere Versionen
Für WordPress-Versionen älter als 6.8 wird in der Meldung angegeben, dass diese nicht verwundbar sind.
So gehen Sie jetzt richtig vor
Die empfohlene Maßnahme ist eindeutig: Installieren Sie die Sicherheitsupdates für WordPress Core, sobald sie verfügbar sind. Dadurch schließen Sie die Einfallstore, bevor Angreifer sie ausnutzen können.
Wenn Sie Ihre Version kennen
Vergleichen Sie Ihre aktuelle WordPress-Version mit den oben genannten Fix-Versionen. Wählen Sie anschließend die passende aktualisierte Version und planen Sie die Installation so, dass die Ausfallzeit gering bleibt.
Wenn Sie unsicher sind, welche Version läuft
Falls Sie nicht sicher wissen, welche WordPress-Version installiert ist, sollten Sie den Kontakt zu Ihrem IT-Dienstleister oder Ihrer Hosting-Umgebung suchen. Oft lässt sich die Version auch über Systeminformationen im Administrationsbereich oder in der Serverumgebung nachvollziehen, jedoch hängt das vom Setup ab.
Wenn Updates nicht sofort möglich sind
Manchmal lassen sich Updates nicht unmittelbar einspielen, etwa wegen umfangreicher Freigabeprozesse oder komplexer Produktionsumgebungen. Für solche Fälle empfiehlt das NCSC, die Lage mit Ihrem IT-Dienstleister zu besprechen und temporäre Schutzmaßnahmen zu prüfen, um das Risiko bis zur Aktualisierung zu reduzieren.
Welche Maßnahmen das konkret sind, hängt stark von Ihrer Architektur und den Sicherheitskontrollen ab. Wichtig ist: Verlassen Sie sich nicht darauf, dass „später“ automatisch sicherer ist—je schneller Sie die WordPress Core Updates umsetzen, desto besser.
Bewährte Sicherheitsroutine nach dem Update
Auch nach der Aktualisierung lohnt es sich, die Sicherheitsarbeit zu verstetigen. Ein paar pragmatische Schritte helfen, potenzielle Spuren früh zu erkennen:
- Überprüfen Sie nach dem Update die Core-Integrität und relevante Logs.
- Kontrollieren Sie Benutzerkonten und Rollen auf unerwartete Änderungen.
- Wenn möglich, führen Sie eine Kurzprüfung der Website-Funktionalität durch, um Fehler durch Update-Verschiebungen auszuschließen.
So verbinden Sie die unmittelbare Risikoausschaltung mit einer sauberen Betriebspraxis.
Fazit: WordPress Core Updates sofort einplanen
Die Meldung zeigt deutlich, dass Handlungsbedarf besteht: Zwei Sicherheitslücken im WordPress Core wurden geschlossen, und kurz nach Bekanntwerden wurde bereits Missbrauch beobachtet. Damit ist klar, worauf es jetzt ankommt: WordPress Core Updates zeitnah installieren und die betroffenen Versionen zuverlässig auf die jeweiligen Fix-Versionen bringen.
Wenn Sie Hilfe benötigen, ziehen Sie Ihren IT-Dienstleister oder Ihr Hosting-Team hinzu—besonders dann, wenn ein Update kurzfristig nicht möglich ist. Jeder Tag ohne Aktualisierung erhöht das Risiko, dass Angriffe erfolgreich sind.
Quelle: https://www.ncsc.nl/alerts/ernstige-kwetsbaarheden-in-wordpress-core-installeer-updates
