Was geschlossen wurde
Die Dokumentationsseite zu 7.1.4 führt die 22 Lücken in 17 Einträgen auf, dazu kommen erneuerte Stammzertifikate. Am weitesten reicht eine Schwachstelle im Aktualisieren selbst: Eine Race Condition während eines Core-Updates kann dazu führen, dass fremder Code auf dem Server läuft. Die Veröffentlichung von WordPress spricht vom Zeitfenster des Updates. Wer das unter welchen Bedingungen ausnutzen kann, steht in beiden Texten nicht.
Ohne Anmeldung kam man an unveröffentlichte Änderungen aus dem Customizer, dem Werkzeug für die Gestaltung der Seite. Eine Vorschau auf etwas, das noch gar nicht online sein sollte, konnte also lesbar sein.
Zehn Einträge setzen ein angemeldetes Konto voraus, mindestens mit den Rechten Mitarbeiter, Autor oder Redakteur. Die meisten davon betreffen Stored XSS, also Schadcode, der gespeichert wird und später im Browser anderer Nutzer läuft. Wo nur ein kleiner, vertrauter Kreis ein Konto hat, schätzen wir diese Gruppe als weniger dringend ein. Das Update bringt ohnehin alle Korrekturen zusammen.
Wer betroffen ist
WordPress hat die Korrekturen in alle Zweige bis 4.7 übertragen, am selben Tag wie 7.1.4. Liegt deine Fassung unter der Nummer deines Zweiges, fehlen dir Korrekturen:
| Zweig | Fassung mit den Korrekturen |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
Für die Zweige darunter nennt die Dokumentationsseite die Nummern. Die Zweige 7.0 und 6.9 betreffen alle 22 Lücken, ältere Zweige weniger, 4.7 noch zwei. Fassungen bis 4.6 bekommen keine Sicherheitskorrekturen mehr, und aktiv gepflegt wird laut WordPress nur die jeweils neueste.
Was zu tun ist
Im Verwaltungsbereich findest du die Nummer unter Dashboard → Aktualisierungen, dort startest du auch das Update mit „Jetzt aktualisieren“. Wie du die Fassung ohne Anmeldung von außen siehst, steht in unserer Meldung vom September.
Mit automatischen Hintergrund-Aktualisierungen startet das Update von selbst. Schau trotzdem einmal nach, ob die Nummer aus der Tabelle angekommen ist. Plugins und Themes haben eigene Updates, die stehen im selben Menü.
Betreut eine Agentur deine Seite, reicht eine kurze Mail mit der Nummer aus der Tabelle. Die große Fassung 7.2 plant WordPress für den 8. Dezember, auf sie musst du für diese Korrekturen nicht warten.