Dieser Beitrag wurde mit KI erstellt.
WordPress hat am 28. Oktober 2026 das Sicherheitsupdate 7.1.4 veröffentlicht, und seit dem 30. Oktober werden bereits Angriffsversuche auf die schwerste der geschlossenen Lücken gemeldet. Betreibst du einen Onlineshop mit WooCommerce, läuft er auf WordPress und ist damit betroffen. Hier liest du, was das Update schließt, was du jetzt prüfen solltest und was das für die Anbindung deines Shops an Lexware Office bedeutet.
Was WordPress 7.1.4 schließt
Laut den Versionshinweisen von WordPress behebt das Update 22 Sicherheitslücken. Die meisten sind Cross-Site-Scripting-Lücken, von denen viele bereits ein Benutzerkonto mit der Rolle „Mitarbeiter“ ausnutzen kann. Die wichtigsten Punkte:
- Die schwerste Lücke steckt im Update-Vorgang selbst: WordPress entpackt ein Core-Update in einen vorhersehbaren, aus dem Internet erreichbaren Ordner unter
wp-content/upgrade. Angreifer können dort ohne Anmeldung Schadcode einschleusen, solange ein Update läuft. heise nennt einen CVSS-Wert von 8.1 („hoch“). - Unveröffentlichte Änderungen aus dem Customizer waren ohne Anmeldung abrufbar.
- Benutzerdefinierte Rollen für die Kommentarmoderation konnten Notizen an Beiträgen lesen und löschen, die sie sonst nicht bearbeiten dürfen.
- Das Update tauscht außerdem die mitgelieferten Stammzertifikate aus.
Für ältere Versionszweige bis hinunter zu WordPress 4.7 gibt es Korrekturversionen, etwa 7.0.8, 6.9.11 und 6.8.12. WordPress 4.6 und älter erhält keine Sicherheitsupdates mehr.
Angriffe laufen bereits
Wie heise am 30. Oktober berichtet, beobachtet der Sicherheitsanbieter Wordfence gezielte Versuche, die Lücke im Update-Vorgang auszunutzen: In den ersten 21 Stunden nach Einführung einer passenden Firewall-Regel zählte Wordfence mehr als 18.500 Anfragen. Ein Angriff gelingt nur in dem kurzen Zeitfenster, in dem ein Update läuft. Bestätigte Einbrüche nennt der Bericht bisher nicht.
Quellen: WordPress.org, heise online und Dr. Web.
Was du jetzt tun solltest
- Prüfe im Dashboard unter „Aktualisierungen“, ob dein Shop WordPress 7.1.4 oder die Korrekturversion deines Versionszweigs nutzt. Automatische Hintergrund-Updates spielen sie in der Regel selbst ein; verlass dich aber nicht ungeprüft darauf.
- Erstelle vor einem manuellen Update eine aktuelle Sicherung.
- Lief das Update bei dir noch nicht, prüfe deine Installation auf Spuren: unbekannte PHP-Dateien unter
wp-content/upgrade, unbekannte Administratorkonten und Plugins, die du nicht selbst installiert hast. - Lösche verwaiste Benutzerkonten mit den Rollen „Mitarbeiter“ und „Autor“, die niemand mehr braucht.
- Bring auch WooCommerce und alle anderen Plugins auf den aktuellen Stand.
Deine Shop-Anbindung an Lexware Office
Nutzt du unsere WooCommerce Lexware Office Anbindung, musst du in deinem Shop dafür nichts aktualisieren: Sticky braucht kein Plugin in deinem Shop, sondern ruft deine Bestellungen alle 15 Minuten über die REST-API von WooCommerce ab. Rechnungen, Gutschriften und Kunden landen weiter automatisch in Lexware Office.
Nimm die Prüfung trotzdem zum Anlass, einen Blick auf deine API-Schlüssel zu werfen: In WooCommerce findest du sie unter Einstellungen → Erweitert → REST-API. Entferne Schlüssel, die du keinem Dienst zuordnen kannst. Hast du den Verdacht, dass jemand Zugriff auf deinen Shop hatte, erzeuge auch für Sticky einen neuen Schlüssel mit Lese- und Schreibrechten und trag ihn in Sticky ein. Was die Anbindung sonst alles überträgt, liest du im Beitrag Wie entstehen aus WooCommerce-Bestellungen automatisch Rechnungen in Lexware Office?, die Voraussetzungen stehen im Hilfeartikel WooCommerce.
Wir helfen dir weiter
Du willst wissen, ob deine Shop-Anbindung nach dem Update sauber läuft, oder einen neuen API-Schlüssel hinterlegen? Ruf uns an unter 02261 81616-90 oder schreib an support@sticky.de. Noch kein Sticky? Dann teste Sticky 7 Tage kostenlos und verbinde deinen WooCommerce-Shop mit Lexware Office.