Die Sicherheitsversion 7.0.2 behebt ein kritisches und ein hochgradiges Sicherheitsproblem.

Da es sich um eine Sicherheitsversion handelt, wird empfohlen, deine Websites umgehend zu aktualisieren. Aufgrund der Schwere der Sicherheitslücken hat das WordPress.org-Team für Websites, auf denen betroffene Versionen laufen, erzwungene Updates über das automatische Update-System aktiviert.

Um das Update manuell durchzuführen, rufe dein WordPress-Dashboard auf, klicke auf „Aktualisierungen“ und anschließend auf „Version 7.0.2–de_DE installieren“, oder lade WordPress 7.0.2 von WordPress.org herunter. Auf Websites, die automatische Hintergrund-Updates unterstützen, wird der Update-Vorgang automatisch gestartet.

Das Sicherheitsteam bedankt sich bei den folgenden Personen für die verantwortungsvolle Meldung der Sicherheitslücken und die damit ermöglichte Behebung in dieser Version:

• Ein Problem mit einer ermöglichten SQL-Injection, das gemeinsam von TF1T, dtro und haongo gemeldet wurde
• Ein Problem mit einer Verwechslung von REST-API-Batch-Routen und einer SQL-Injection, das zur Ausführung von Remote-Code führte und von Adam Kues bei Assetnote / Searchlight Cyber gemeldet wurde

Weitere Informationen zu dieser Version findest du auf der HelpHub-Website.

• WordPress 6.9 ist von beiden Sicherheitslücken betroffen. Es wurde die Version 6.9.5 veröffentlicht, die Korrekturen für beide Sicherheitslücken enthält.
• WordPress 6.8 ist nur von der ersten Sicherheitslücke betroffen. Es wurde die Version 6.8.6 veröffentlicht, die eine Korrektur enthält.
• Die Beta-Version von WordPress 7.1 ist von beiden Sicherheitslücken betroffen. Es wurde die Version 7.1 beta2 veröffentlicht, die Korrekturen für beide Sicherheitslücken enthält.
• Versionen von WordPress vor 6.8 sind nicht betroffen.

Diese Version wurde von John Blackbourn und Barry Abrahamson geleitet. Neben den oben genannten Sicherheitsforschern wäre WordPress 7.0.2 ohne die bedeutenden Beiträge der folgenden Personen nicht möglich gewesen: Aaron Jorbin, Alex Concha, annezazu, Barry, David Baumwald, Dominik Schilling, Ehtisham Siddiqui, Joe Dolson, Joe Hoyle, John Blackbourn, Jonathan Desrosiers, Marius L. J., Matt Mullenweg, Mohammad Jangda, Peter Wilson, Sergey Biryukov, vortfu, Weston Ruter, sowie Vertreter von Altis, Automattic, Bluehost, Cloudflare, GoDaddy, Hostinger und WP Engine.