Am 12. August hat das WordPress-Projekt Version 7.0.4 veröffentlicht. Sie behebt eine einzige Schwachstelle, und die ist ungewöhnlich: Sie greift nur, wenn zwei Dinge gleichzeitig zutreffen. Das macht sie für viele Websites harmlos — und für andere gefährlich.
Die Lücke trägt die Kennung CVE-2026-65640 und erlaubt es, über einen manipulierten Datei-Upload eigenen Programmcode auf dem Server auszuführen. Gemeldet hat sie erneut das Team von pwn.ai, das schon hinter der Meldung zu WordPress 7.0.3 stand. Das öffentliche Advisory bewertet sie mit 8.8 von 10 Punkten — hoch, aber diese Zahl beschreibt den Schadensfall, nicht die Wahrscheinlichkeit.
Die zwei Bedingungen
Erstens braucht der Angreifer ein Konto mit Autoren-Rechten oder höher — genauer: eines mit der Berechtigung, Dateien hochzuladen. Anonym von aussen funktioniert der Angriff nicht. Das klingt beruhigend, ist es aber nur, solange Sie wissen, wer alles ein Konto hat. Bei Websites mit Gastautoren, Redaktionsteams, einem Mitgliederbereich oder offener Registrierung ist diese Hürde niedrig. Und ein Konto muss nicht bösartig sein: Ein übernommenes Autorenkonto aus einem fremden Datenleck genügt.
Zweitens muss der Server Bilder mit Imagick in Verbindung mit Ghostscript verarbeiten. Das ist der eigentliche Punkt, und er liegt nicht in Ihrer WordPress-Installation, sondern in der Serverkonfiguration Ihres Hosters. Imagick ist die PHP-Anbindung an ImageMagick; Ghostscript kommt ins Spiel, sobald PostScript- oder PDF-Dateien verarbeitet werden. Fehlt einer der beiden Bausteine — oder ist die Verbindung zwischen ihnen abgeschaltet —, läuft der Angriff ins Leere.
Daraus folgt etwas Unangenehmes: Sie können der Beschreibung der Lücke nicht ansehen, ob Sie betroffen sind. Zwei WordPress-Installationen mit identischem Stand, identischen Plugins und identischen Benutzern können unterschiedlich verwundbar sein, wenn sie bei verschiedenen Hostern liegen.
Was wir auf unseren Servern gefunden haben
Wir haben nachgesehen, statt es zu vermuten. Auf unseren Webservern sind beide Bausteine vorhanden: das PHP-Modul Imagick und Ghostscript in Version 9.55.0. Nach der reinen Paketliste wären unsere Kunden also betroffen.
Entscheidend ist aber die Richtlinie, mit der ImageMagick arbeitet. Unsere Konfiguration sperrt zunächst alle Dateiformate und erlaubt anschliessend genau vier davon: GIF, JPEG, PNG und WEBP. PostScript, EPS und PDF sind damit blockiert — und das sind genau die Formate, für die ImageMagick den Ghostscript-Delegaten aufruft. Die zweite Bedingung der Lücke ist auf unseren Servern also nicht erfüllt.
Diese Einschränkung ist keine Reaktion auf diese Meldung, sondern seit Jahren Standard bei uns: Sie geht auf eine ganze Reihe ähnlicher ImageMagick-Schwachstellen zurück, die alle über exotische Formate liefen. Genau deshalb schreiben wir hier nicht «zum Glück», sondern: So sollte ein Bildstack konfiguriert sein.
Und nein, erzwungen wurde nichts
Diese Frage erreicht uns bei jedem Sicherheitsrelease, deshalb hier klar: 7.0.4 wurde nicht als Zwangsupdate verteilt. In der Ankündigung steht der übliche Satz, dass Websites mit automatischen Hintergrund-Updates in Kürze aktualisiert werden — das ist der Normalbetrieb seit WordPress 3.7.
Ein echtes erzwungenes Update gab es in diesem Sommer genau einmal: bei Version 7.0.2 am 17. Juli, gegen die massenhaft ausgenutzte Angriffskette «wp2shell». Dort schaltete WordPress.org die Verteilung aktiv scharf. Wie diese Woche aussah und wie schnell die ersten Angriffe kamen, steht in unserem Beitrag zur Angriffswelle auf WordPress.
Der Unterschied ist keine Wortklauberei. Wer «erzwungen» hört, verlässt sich darauf, dass das Update von selbst kommt. Die Automatik greift aber nur, wenn die Installation sie ausführen kann — sie scheitert still bei fehlenden Schreibrechten, abgeschalteter Automatik oder zu wenig Besuch auf der Seite.
Was Sie jetzt tun sollten
Prüfen Sie, ob 7.0.4 tatsächlich angekommen ist. Ein Blick unter «Dashboard → Aktualisierungen» dauert zehn Sekunden und ersetzt jede Annahme. Wer eine ältere Version fährt: Die Korrektur wurde bis WordPress 4.7 zurückportiert, insgesamt in 21 Point-Releases bis hinunter zu 5.0.27. Für 4.6 und älter gibt es nichts mehr — dort ist die Antwort eine Migration, kein Update.
Fragen Sie Ihren Hoster zwei Dinge: Läuft Imagick, und ist der Ghostscript-Delegat für PostScript und PDF freigeschaltet? Eine klare Antwort darauf sagt Ihnen mehr über Ihre Lage als jede CVSS-Punktzahl. Wer selbst einen Server betreibt, findet die Antwort in der Richtliniendatei von ImageMagick.
Sehen Sie Ihre Benutzerliste durch. Konten mit Autoren-Rechten, die niemand mehr braucht, sind bei dieser Lücke die Eintrittskarte. Das gilt über diesen Fall hinaus: Verwaiste Konten mit Schreibrechten sind ein wiederkehrendes Muster bei erfolgreichen Angriffen, wie wir in der Bedrohungslage 2026 beschrieben haben.
Und der Satz, der bei jedem dieser Beiträge stehen muss, weil er am häufigsten übersehen wird: Ein Update schliesst die Lücke, entfernt aber nichts, was vorher hindurchgekommen ist. Wenn Ihre Website länger ungepatcht am Netz war, hilft nur eine Hack- & Malware-Bereinigung, die den Einbruchsweg sucht statt die Versionsnummer hochzuzählen.
Für Websites in unserer Betreuung ist das erledigt: Wir spielen Sicherheitsupdates kontrolliert ein und prüfen danach, ob die neue Version wirklich aktiv ist. Wie weit diese Betreuung geht, regelt der Wartungsvertrag mit Monitoring.