WordPress 7.0.4: Warum du deine Medienbibliothek ab sofort anders betrachten solltest

Wie oft denkst du wirklich darüber nach, wenn du ein Bild in WordPress hochlädst? Vermutlich nie. Doch mit Version 7.0.4 rückt genau dieser banale Vorgang plötzlich in ein anderes Licht.

Das WordPress-Sicherheitsteam hat einen Bug gefixt, der fast zehn Jahre lang unbemerkt blieb. Konkret: manipulierte PNG-Dateien konnten PostScript-Code enthalten, der beim Upload über die Medienbibliothek auf dem Server ausgeführt wurde.

Das Problem lauert im Upload-Formular

Was diese Lücke so heikel macht: Sie war kein theoretisches Szenario aus einem Forschungsprojekt. Sie befand sich aktiv auf produktiven WordPress-Installationen worldwide.

Der Angriff funktioniert elegant in seiner Einfachheit. Angreifer erstellen ein PNG, das zusätzlich PostScript-Befehle enthält. Wird dieses Bild über den normalen Medien-Uploader hochgeladen, kann es unter bestimmten Server-Konfigurationen nicht nur gespeichert, sondern direkt ausgeführt werden.

Autoren-Zugang: Die Tür, die zu weit offen stand

Für alle, die WordPress multi-autorig betreiben, wird es jetzt spannend. Die Lücke lässt sich nur mit Autoren-Rechten ausnutzen. Das bedeutet: Wer seinen Gastautoren und Freelancern Zugang gewährt hat, hat ihnen faktisch auch Server-Ausführungsrechte eingeräumt.

Ein deutliches Signal, dass User Roles mehr sind als Qualitätskontrolle für Content. Sie sind deine erste Verteidigungslinie gegen Server-Übernahmen.

Sofortmaßnahmen für WordPress-Nutzer

Update auf 7.0.4 steht an – keine Diskussion. Aber darüber hinaus lohnt sich ein kritischer Blick auf deine Website-Architektur:

• Überprüfe, wer wirklich Upload-Rechte braucht
• Ergänzende Datei-Validierung jenseits der WordPress-Standards implementieren
• PHP-Ausführungseinstellungen für Uploads auf dem Server absichern
• Automatische Updates für sicherheitsrelevante Patches aktivieren

Die größere Lesson

Diese Lücke steht exemplarisch für eine ganze Kategorie von Sicherheitsproblemen, die gerne übersehen wird: das naive Vertrauen in Dateiformate. Bei Text-Eingaben und SQL-Queries haben wir dazugelernt. Bei Bildern, PDFs und anderen "passiven" Dateien vertrauen viele Systeme noch immer blind.

Für alle, die auf WordPress oder ähnlichen Plattformen aufbauen, gilt: Behandle jeden Upload als potenziell feindlich. Betrachte deine Medienbibliothek als Angriffsfläche, nicht als harmloses Content-Archiv.

Dass dieser Bug knapp ein Jahrzehnt unentdeckt blieb, unterstreicht außerdem: Software aktuell zu halten ist nicht optional. Vielleicht läuft auf deinem Server gerade vulnerabler Code – bis du es merkst.

Bleib gepatcht. Bleib wachsam. Und denk das nächste Mal vielleicht doch zweimal nach, bevor du ein Bild hochlädst.