Über 80 Prozent der derzeit genutzten Wordpress-Installationen sind durch eine Sicherheitslücke gefährdet - und das vermutlich seit Langem. Der Sicherheitsexperte Jouko Pynnonen  warnt auf seiner Website vor einem sogenannten Cross-Site-Scripting (XSS), einem Angriff, für den die Versionen 3.0 bis 3.9.2 anfällig sein sollen. Mit Version 4.0 und 4.0.1 dagegen sei man vor der Attacke gewappnet, bei der unter bestimmten Umständen schädlicher Javascript-Code ausgeführt wird. Das Problem hängt Pynnonen zufolge mit der Formatierungsfunktion wptexturize von Wordpress zusammen, die sich aber auf Wunsch abschalten lässt.

Wordpress hat bereits Donnerstag bestätigt, dass es die Sicherheitslücke gibt, und ein Update veröffentlicht , das diese und weitere Lücken schließt. Die Installation des Updates auf Version 4.0.1 wird Nutzern älterer Wordpress-Versionen dringend empfohlen.

Eingeschleust wird der Code Pynnonens Beschreibung zufolge mithilfe der Kommentarfelder. Sobald ein Wordpress-Administrator einen entsprechenden Kommentar freischaltet - was zum Beispiel nötig ist, wenn der Kommentar Links enthält -, wird der Code ausführt. Infolgedessen kann es beispielsweise passieren, dass das Administratoren-Passwort geändert oder ein neuer Administratoren-Account angelegt wird. All das läuft im Hintergrund ab, so dass der Nutzer im Regelfall erst später mitbekommt, was geschehen ist.