Mit WordPress 7.0.4 steht ein weiteres Sicherheitsupdate für das weltweit meistgenutzte Content-Management-System bereit.
Nur wenige Tage nach WordPress 7.0.3 behebt die neue Version eine sicherheitsrelevante Schwachstelle, die unter bestimmten Voraussetzungen die Ausführung von Schadcode auf dem Webserver ermöglichen kann.
Betreiber von WordPress-Webseiten sollten das Update daher so schnell wie möglich installieren.
Sicherheitslücke bei der Verarbeitung von Bilddateien
Bei der mit WordPress 7.0.4 geschlossenen Schwachstelle handelt es sich um CVE-2026-65640. Sie betrifft die Verarbeitung hochgeladener Dateien auf Servern, auf denen ImageMagick beziehungsweise Imagick in Verbindung mit Ghostscript zum Einsatz kommt.
Ein Angreifer benötigt allerdings bereits ein WordPress-Benutzerkonto mit der Berechtigung zum Hochladen von Dateien. In einer Standardinstallation entspricht dies mindestens der Benutzerrolle Autor. Durch eine entsprechend präparierte Datei kann unter den betroffenen Serverkonfigurationen eine Remote Code Execution (RCE) ausgelöst werden.
Die Schwachstelle wird mit einem CVSS-Wert von 8,8 als „hoch“ eingestuft. Eine bestätigte aktive Ausnutzung der Sicherheitslücke ist derzeit nicht bekannt.
WordPress 7.0.4 sollte zeitnah installiert werden
Betroffen sind WordPress-Versionen bis einschließlich 7.0.3. Mit WordPress 7.0.4 wurde die Schwachstelle geschlossen. Sicherheitskorrekturen werden zudem auf ältere unterstützte WordPress-Versionen zurückportiert.
Da Sicherheitslücken nach ihrer Veröffentlichung häufig genauer analysiert und entsprechende Exploits entwickelt werden, sollte mit der Installation des Updates nicht unnötig gewartet werden.
Empfehlung von linomedia
Wir empfehlen, produktive WordPress-Webseiten umgehend auf WordPress 7.0.4 zu aktualisieren. Vor dem Update sollte wie gewohnt ein vollständiges Backup der Dateien und der Datenbank vorhanden sein.
Besondere Aufmerksamkeit ist bei Webseiten erforderlich, auf denen mehrere Benutzer Dateien hochladen dürfen. Hier empfiehlt es sich zusätzlich, die Benutzerkonten und zuletzt hochgeladenen Dateien zu kontrollieren.
Ob auf dem eigenen Webserver Imagick verwendet wird, lässt sich im WordPress-Backend unter Werkzeuge → Website-Zustand → Bericht → Medien-Handhabung überprüfen.
Kundinnen und Kunden von linomedia, deren WordPress-Webseiten von uns laufend betreut und gewartet werden, müssen sich um die Installation sicherheitsrelevanter Updates nicht selbst kümmern. Im Rahmen der laufenden WordPress-Wartung sorgen wir dafür, dass notwendige Sicherheitsupdates zeitnah eingespielt werden.
