WordPress 7.0.3 schließt 12 Sicherheitslücken

11. August 2026

Wer eine WordPress-Website betreibt, sollte sich diese Meldung merken: Am 6. August 2026 wurde WordPress 7.0.3 veröffentlicht. Kein Feature-Update, kein neues Design, ausschließlich Sicherheitskorrekturen.

Was steckt hinter WordPress 7.0.3?

WordPress 7.0.3 ist ein reines Sicherheits-Release. Das Update bringt keine neuen Funktionen und keine geänderten Oberflächen. Der einzige Zweck dieses Updates ist die Schließung von Sicherheitslücken im WordPress-Kern. Laut offiziellem Release-Eintrag auf wordpress.org wird allen Website-Betreibern dringend empfohlen, sofort zu aktualisieren.

Das Update schließt insgesamt 12 Sicherheitslücken. Darunter sind bekannte Angriffsmuster wie Cross-Site-Scripting (XSS), Privilege Escalation (unbefugte Rechteerweiterung), Information Disclosure, CSS-Injection, ein E-Mail-Verifikations-Bypass und Server-Side Request Forgery (SSRF). Das klingt nach viel Fachsprache, hat aber sehr konkrete Auswirkungen auf Ihre Website.

Die kritischste Lücke: CVSS 8,9 auf der Login-Seite

Die schwerwiegendste der 12 Schwachstellen trägt die Kennung CVE-2026-64638 und erhielt einen CVSS-Score von 8,9. CVSS ist eine Skala von 0 bis 10, auf der die Gefährlichkeit einer Sicherheitslücke bewertet wird. Ein Wert von 8,9 gilt als kritisch.

Betroffen ist die WordPress-Login-Seite. Es handelt sich um eine sogenannte Pre-Auth-Reflected-XSS-Lücke. Was das konkret bedeutet: Ein Angreifer muss sich nicht einloggen, um Schaden anzurichten. Er erstellt eine manipulierte Login-URL und überredet einen Administrator per E-Mail oder Nachricht, diesen Link zu öffnen. Öffnet der Administrator den Link, kann der Angreifer schädlichen JavaScript-Code in die Login-Seite einschleusen. Laut Patchstack kann dieser Angriff in der Folge sogar zu Remote Code Execution führen, also zur vollständigen Übernahme des Servers.

Wichtig für KMU-Entscheider: Diese Lücke funktioniert ohne aktives Einloggen des Angreifers. Es reicht, dass ein Administrator auf einen präparierten Link klickt. Das ist ein klassisches Social-Engineering-Szenario, das auch ohne technisches Vorwissen ausgeführt werden kann.

Welche Angriffsvektoren wurden konkret geschlossen?

Die vollständige Auflistung der Schwachstellen von ShapedPlugin zeigt, wie breit die Angriffsfläche war:

Pre-Auth Reflected XSS (Login-Seite, CVSS 8,9): Schadcode ohne vorherigen Login einschleusbar
Stored XSS: Angriffscode wird dauerhaft in der Datenbank gespeichert und bei jedem Seitenaufruf ausgeführt
Privilege Escalation: Angreifer mit niedrigen Rechten können sich zu Administratoren hochstufen
CSS-Injection: Manipulation des visuellen Erscheinungsbilds durch eingeschleuste Stylesheet-Befehle
Information Disclosure: Unberechtigter Zugriff auf vertrauliche Systemdaten
E-Mail-Verifikations-Bypass: Umgehung der E-Mail-Bestätigung bei der Registrierung
Server-Side Request Forgery (SSRF): Der Server wird missbraucht, um interne Netzwerkressourcen abzufragen

KI als neues Werkzeug für Angreifer

Ein Detail aus dem Patchstack-Bericht verdient besondere Aufmerksamkeit: Teile der gefundenen Schwachstellen wurden von KI-gestützten Sicherheitssystemen entdeckt. Genannt werden unter anderem das Unternehmen pwn.ai mit seiner “Autonomous Pentesting”-Methode sowie Anthropic.

Das zeigt, wie KI die Bedrohungslage verändert. Searchlight Cyber setzte laut Patchstack ein KI-Modell auf den WordPress-Kern an und hatte in unter zehn Stunden eine funktionierende Pre-Auth-SQL-Injection gefunden, die bis zur vollständigen Server-Übernahme verkettet werden konnte. Gesamtkosten des Angriffs: rund 25 Dollar.

Das heißt nicht, dass WordPress unsicher ist. Ungepatchte Websites sind heute deutlich schneller angreifbar als noch vor zwei Jahren.

Was jetzt zu tun ist: So aktualisieren Sie auf 7.0.3

Wer WordPress selbst hostet, findet das Update direkt im Dashboard unter Dashboard > Updates > Jetzt aktualisieren. Alternativ lässt sich die aktuelle Version über wordpress.org herunterladen.

Wer auf einer verwalteten Hosting-Plattform arbeitet: Viele Anbieter spielen das Update automatisch aus. WordPress VIP hat laut Pantheon 7.0.3 automatisch auf alle betroffenen Sites ausgerollt. Prüfen Sie dennoch aktiv, ob Ihre Website bereits auf dem aktuellen Stand ist.

Wer noch eine ältere WordPress-Version betreibt, für den wurden ebenfalls gepatchte Versionen veröffentlicht: darunter 6.9.6, 6.8.7, 6.7.6, 6.6.6, 6.5.9 und 6.4.9. Ein Update ist in jedem Fall notwendig.

Kurz-Checkliste für Website-Betreiber: Prüfen Sie im WordPress-Dashboard, welche Version aktiv ist. Steht dort noch 7.0.2 oder älter, spielen Sie das Update sofort ein. Machen Sie vorher eine Datensicherung, um im Fehlerfall schnell wiederherstellen zu können.

Was kommt als Nächstes: WordPress 7.1 steht kurz bevor

Wer nach diesem Sicherheits-Update auf das nächste größere Release wartet: WordPress 7.1 soll beim WordCamp US am 19. August 2026 veröffentlicht werden. Der erste Release Candidate steht bereits zum Testen bereit. Für produktive Websites gilt: Erst nach dem offiziellen Release aktualisieren und Updates immer vorab in einer Testumgebung prüfen.

WordPress 7.0 “Armstrong” war am 20. Mai 2026 erschienen und brachte unter anderem Real-Time Co-Editing, neue Blöcke und ein überarbeitetes Admin-Design. Wer die Stammversion noch nicht kennt, findet eine Übersicht der Neuerungen bei InstaWP.

Fazit: Sicherheitsupdates sind keine Option

WordPress 7.0.3 ist ein Paradebeispiel dafür, warum Website-Wartung kein Thema ist, das man auf nächste Woche verschieben sollte. Zwölf Schwachstellen, die kritischste mit einem CVSS-Score von 8,9 auf der Login-Seite, und KI-gestützte Angriffswerkzeuge, die solche Lücken in Stunden finden. Das Update kostet Sie wenige Minuten. Die Folgen eines erfolgreichen Angriffs können deutlich weitreichender sein.

Wenn Sie sich nicht sicher sind, ob Ihre WordPress-Website aktuell und ausreichend abgesichert ist, sprechen Sie uns an. Bei ConRat WebSolutions übernehmen wir die regelmäßige Wartung und Absicherung von WordPress-Websites für KMU, damit Sie sich auf Ihr Kerngeschäft konzentrieren können.

Quellen

Themen

CMS-Sicherheit KMU Privilege Escalation Sicherheitsupdate Webseite WordPress WordPress 7.0.3 XSS

Content-Marketing · 11. August 2026WordPress 7.0.3 schließt 12 Sicherheitslücken