WordPress 7.0.3: Die Sicherheitslücke, die Sie jetzt schließen sollten

Am 6. August 2026 hat WordPress die Version 7.0.3 veröffentlicht, ein Sicherheitsupdate, das 12 Schwachstellen behebt, drei davon werden als ernst eingestuft. Kein Update, das man aufschieben sollte: Wenn Ihre Website nicht automatisch aktualisiert wird, ist jetzt der richtige Zeitpunkt für eine Kontrolle.

Was wirklich behoben wurde (einfach erklärt)

Das offizielle Changelog listet zwölf Fixes, aber nur einige davon sind für eine “normale” Website relevant. Die drei wichtigsten:

• XSS auf dem Login-Bildschirm (hoher Schweregrad, 8,9/10): Ein Angriff, der nicht einmal ein Benutzerkonto auf der Website erfordert. Unter bestimmten Umständen kann diese Lücke bis zur Ausführung von PHP-Code führen. Die schwerwiegendste Schwachstelle in diesem Update.
• SSRF bei der URL-Validierung: Ermöglicht es, den Server dazu zu bringen, Anfragen an interne Netzwerkadressen (link-local) zu senden. Für sich genommen “öffnet” das die Website nicht, ist aber oft der erste Schritt, um von außen ins interne Servernetzwerk vorzudringen.
• Rechteausweitung bei Multisite-Netzwerken: Bei aktivierter Benutzerregistrierung kann ein Benutzer eine neue Website im Netzwerk anlegen. Betrifft nur Multisite-Installationen, nicht einzelne Websites.

Der Rest sind kleinere Korrekturen: Offenlegung von Informationen (Kommentare zu passwortgeschützten Beiträgen wurden über den Block “Neueste Kommentare” sichtbar), Aufzählung von Beitrags-Slugs und eine Umgehung der E-Mail-Bestätigung. Gut zu wissen, aber nicht dringend.

Ist meine Website gefährdet?

Ja, wenn Sie eine Version vor 7.0.3 nutzen und keine automatischen Updates aktiviert haben. Die Korrektur wurde bis zur Version 4.7 zurückportiert, sodass auch Websites auf älteren Zweigen ein Update zur Verfügung haben: 6.9.6, 6.8.7, 6.7.6, 6.6.6 und so weiter, je nach genutztem Zweig.

Wenn bei Ihrem Hosting automatische Core-Updates aktiviert sind, sind Sie wahrscheinlich bereits aktualisiert, ohne etwas getan zu haben. Falls Sie das nicht wissen, ist das die erste Kontrolle, die Sie durchführen sollten.

Was jetzt zu tun ist

1. Gehen Sie zu Dashboard → Aktualisierungen und prüfen Sie die installierte WordPress-Version.
2. Falls Sie unter 7.0.3 (oder unter der gepatchten Version Ihres Zweigs) sind, aktualisieren Sie sofort, notfalls manuell.
3. Erstellen Sie vor dem Update wie immer ein Backup, auch wenn es sich “nur” um ein Sicherheitspatch handelt.
4. Falls Sie ein Multisite-Netzwerk mit offener Benutzerregistrierung betreiben, prüfen Sie die Logs auf verdächtige Aktivitäten der letzten Tage.

Wenn Sie mehrere WordPress-Websites verwalten (Agentur, E-Commerce, Portale) und sicherstellen möchten, dass das Update überall angewendet wurde, ohne jede Installation manuell zu prüfen, ist das genau die Art von Arbeit, die in die verwaltete Wartung fällt.