Word­Press 7.0.2 ist da: Sicher­heits­up­date schließt zwei kri­ti­sche Schwach­stel­len

Word­Press 7.0.2 wur­de am 17. Juli 2026 ver­öf­fent­licht und soll­te nach Emp­feh­lung des Word­Press-Sicher­heits­teams sofort instal­liert wer­den.
Bei der Ver­si­on han­delt es sich aus­drück­lich um ein Sicher­heits­up­date. Geschlos­sen wer­den zwei Schwach­stel­len, die unter bestimm­ten Vor­aus­set­zun­gen SQL-Injec­tion-Angrif­fe ermög­li­chen kön­nen. Eine der Lücken betrifft die REST-API und kann laut den offi­zi­el­len Ver­si­ons­hin­wei­sen bis zur Aus­füh­rung von Schad­code aus der Fer­ne füh­ren.

Für Unter­neh­men, Agen­tu­ren, Online­shops und Betrei­ber geschäfts­kri­ti­scher Word­Press-Web­sites ist das Update des­halb deut­lich dring­li­cher als ein gewöhn­li­ches War­tungs­re­lease. Wer Word­Press 7.0 oder eine betrof­fe­ne älte­re Ver­si­ons­li­nie ein­setzt, soll­te die instal­lier­te Ver­si­on unver­züg­lich kon­trol­lie­ren, ein voll­stän­di­ges Back­up erstel­len und die bereit­ge­stell­te Sicher­heits­ver­si­on ein­spie­len.

Die zen­tra­le Fra­ge lau­tet: Wel­che Sicher­heits­lü­cken schließt Word­Press 7.0.2, wel­che älte­ren Word­Press-Ver­sio­nen sind betrof­fen und wie soll­ten Web­site-Betrei­ber jetzt vor­ge­hen?

Was ist Word­Press 7.0.2?

Word­Press 7.0.2 ist ein außer­plan­mä­ßig rele­van­tes Sicher­heits­re­lease inner­halb der WordPress‑7.0‑Reihe. Anders als ein gewöhn­li­ches War­tung­s­up­date kon­zen­triert sich die­se Ver­si­on nicht pri­mär auf Dar­stel­lungs­feh­ler oder klei­ne­re Bedie­nungs­pro­ble­me. Im Mit­tel­punkt ste­hen Schwach­stel­len, die poten­zi­ell miss­braucht wer­den könn­ten, um Daten­bank­ab­fra­gen zu mani­pu­lie­ren oder im schwer­wie­gen­de­ren Fall Schad­code aus der Fer­ne aus­zu­füh­ren.

WordPress.org for­mu­liert die Emp­feh­lung ein­deu­tig: Weil es sich um ein Sicher­heits­re­lease han­delt, soll­ten Betrei­ber ihre Web­sites sofort aktua­li­sie­ren. Die­se Dring­lich­keit ist ins­be­son­de­re des­halb nach­voll­zieh­bar, weil eine der beschrie­be­nen Angriffs­ket­ten die REST-API, SQL Injec­tion und Remo­te Code Exe­cu­ti­on mit­ein­an­der ver­bin­det.

War­um ist das Update so wich­tig?

Word­Press ist das tech­ni­sche Fun­da­ment einer Web­site. Sicher­heits­lü­cken im Core kön­nen des­halb grund­sätz­lich rele­van­ter sein als Schwach­stel­len in einer ein­zel­nen Zusatz­funk­ti­on. Sie betref­fen nicht nur ein bestimm­tes Plug­in oder The­me, son­dern kön­nen zen­tra­le Bestand­tei­le des Sys­tems berüh­ren.

Die in Word­Press 7.0.2 kor­ri­gier­ten Pro­ble­me lie­gen in drei Core-Datei­en, die mit Daten­bank­ab­fra­gen und der REST-API zusam­men­hän­gen. Dadurch ist das Update beson­ders für Web­sites rele­vant, die Schnitt­stel­len, exter­ne Anwen­dun­gen, For­mu­la­re, indi­vi­du­el­le Inte­gra­tio­nen oder dyna­mi­sche Daten­ab­fra­gen ver­wen­den.

Auch Betrei­ber klei­ner Web­sites soll­ten die Aktua­li­sie­rung nicht auf­schie­ben. Das Risi­ko einer Sicher­heits­lü­cke hängt nicht allein von der Grö­ße oder Bekannt­heit einer Web­site ab. Auto­ma­ti­sier­te Angrif­fe suchen häu­fig breit nach ver­wund­ba­ren Instal­la­tio­nen und unter­schei­den nicht zwi­schen einem klei­nen Unter­neh­mens­auf­tritt und einer reich­wei­ten­star­ken Platt­form.

Wel­che Sicher­heits­lü­cken schließt Word­Press 7.0.2?

Begüns­tig­te SQL Injec­tion

Die ers­te Sicher­heits­kor­rek­tur betrifft eine begüns­tig­te SQL-Injec­tion-Schwach­stel­le. Bei einer SQL Injec­tion gelingt es einem Angrei­fer, nicht aus­rei­chend abge­si­cher­te Ein­ga­ben so zu beein­flus­sen, dass dar­aus uner­wünsch­te Daten­bank­be­feh­le ent­ste­hen kön­nen.

Der Begriff „begüns­tigt“ deu­tet dar­auf hin, dass die Schwach­stel­le nicht zwangs­läu­fig iso­liert und ohne wei­te­re Vor­aus­set­zun­gen aus­ge­nutzt wer­den kann. Den­noch ist sie sicher­heits­re­le­vant, weil sie unter geeig­ne­ten Bedin­gun­gen den Zugriff auf Daten­bank­ab­fra­gen beein­flus­sen könn­te.

Daten­ban­ken ent­hal­ten bei Word­Press unter ande­rem:

• Bei­trä­ge und Sei­ten
• Benut­zer­kon­ten und Rol­len
• Web­site-Ein­stel­lun­gen
• For­mu­lar­da­ten, sofern sie gespei­chert wer­den
• Shop‑, Bestell- oder Kun­den­da­ten bei ent­spre­chen­den Erwei­te­run­gen
• Kon­fi­gu­ra­tio­nen von Plug­ins und The­mes

Des­halb soll­ten SQL-Injec­tion-Schwach­stel­len grund­sätz­lich ernst genom­men und durch die bereit­ge­stell­te Sicher­heits­ver­si­on geschlos­sen wer­den.

REST-API-Batch-Rou­ten-Ver­wechs­lung mit mög­li­cher Remo­te Code Exe­cu­ti­on

Die zwei­te Sicher­heits­kor­rek­tur betrifft eine Ver­wechs­lung bei Batch-Rou­ten der Word­Press-REST-API in Ver­bin­dung mit SQL Injec­tion. Laut WordPress.org kann die­se Angriffs­ket­te zu Remo­te Code Exe­cu­ti­on füh­ren.

Remo­te Code Exe­cu­ti­on, häu­fig als RCE abge­kürzt, beschreibt die Mög­lich­keit, aus der Fer­ne uner­wünsch­ten Code auf einem Sys­tem aus­zu­füh­ren. Eine sol­che Schwach­stel­le zählt zu den schwer­wie­gen­den Sicher­heits­pro­ble­men, weil sie je nach erfolg­rei­cher Aus­nut­zung weit­rei­chen­de Fol­gen haben kann.

Mög­li­che Aus­wir­kun­gen einer erfolg­rei­chen Aus­nut­zung kön­nen grund­sätz­lich sein:

• Mani­pu­la­ti­on von Web­site-Inhal­ten
• Ein­spie­len uner­wünsch­ter Datei­en oder Skrip­te
• Ver­än­de­rung tech­ni­scher Ein­stel­lun­gen
• Miss­brauch der Web­site für Wei­ter­lei­tun­gen oder Spam
• Beein­träch­ti­gung von Ver­füg­bar­keit und Inte­gri­tät
• mög­li­cher Zugriff auf wei­te­re Kom­po­nen­ten der Hos­ting-Umge­bung

Die offi­zi­el­len Ver­si­ons­hin­wei­se beschrei­ben kei­ne kon­kre­ten Angriffs­schrit­te. Für Web­site-Betrei­ber ist das auch nicht erfor­der­lich. Ent­schei­dend ist die kla­re Hand­lungs­emp­feh­lung: Die Sicher­heits­ver­si­on soll­te unver­züg­lich instal­liert wer­den.

Was ist die Word­Press-REST-API?

Die REST-API ermög­licht es Word­Press, struk­tu­rier­te Daten über defi­nier­te Schnitt­stel­len bereit­zu­stel­len und ent­ge­gen­zu­neh­men. Sie wird bei­spiels­wei­se von moder­nen Edi­tor­funk­tio­nen, exter­nen Anwen­dun­gen, mobi­len Apps, Head­less-Word­Press-Pro­jek­ten und indi­vi­du­el­len Inte­gra­tio­nen ver­wen­det.

Batch-Rou­ten kön­nen meh­re­re API-Anfra­gen gebün­delt ver­ar­bei­ten. Genau in die­sem Umfeld wur­de laut den Ver­si­ons­hin­wei­sen eine Ver­wechs­lung beho­ben, die zusam­men mit einer SQL Injec­tion zu einer Remo­te Code Exe­cu­ti­on füh­ren konn­te.

Betrei­ber soll­ten die REST-API nicht pau­schal deak­ti­vie­ren, nur weil eine Schwach­stel­le in die­sem Bereich kor­ri­giert wur­de. Die sach­ge­rech­te Maß­nah­me besteht dar­in, die offi­zi­el­le Sicher­heits­ak­tua­li­sie­rung ein­zu­spie­len und anschlie­ßend die Web­site zu tes­ten.

Wel­che Word­Press-Ver­sio­nen sind betrof­fen?

Word­Press weist aus­drück­lich dar­auf hin, dass nur die neu­es­te Ver­si­on aktiv unter­stützt wird. Die Bereit­stel­lung von Sicher­heits­kor­rek­tu­ren für älte­re Ver­si­ons­li­ni­en erfolgt in die­sem Fall aus Kulanz und soll­te nicht als dau­er­haf­te Sup­port­zu­sa­ge ver­stan­den wer­den.

War­um „nicht betrof­fen“ nicht „sicher“ bedeu­tet

Word­Press-Ver­sio­nen vor 6.8 sind laut den offi­zi­el­len Ver­si­ons­hin­wei­sen von den bei­den kon­kret beschrie­be­nen Schwach­stel­len nicht betrof­fen. Dar­aus folgt jedoch nicht, dass sol­che ver­al­te­ten Ver­sio­nen ins­ge­samt sicher oder wei­ter­hin emp­feh­lens­wert sind.

Älte­re Ver­sio­nen kön­nen ande­re bekann­te oder zukünf­ti­ge Sicher­heits­pro­ble­me ent­hal­ten. Zudem steigt mit zuneh­men­dem Alter das Risi­ko von Inkom­pa­ti­bi­li­tä­ten mit aktu­el­len Plug­ins, The­mes, PHP-Ver­sio­nen und Hos­ting-Kon­fi­gu­ra­tio­nen.

Betrei­ber einer ver­al­te­ten Word­Press-Instal­la­ti­on soll­ten des­halb nicht allein auf die Aus­sa­ge „von die­sen Schwach­stel­len nicht betrof­fen“ ver­trau­en. Sinn­voll ist ein kon­trol­lier­tes Upgrade auf die aktu­el­le, aktiv unter­stütz­te Ver­si­on.

Wel­che Datei­en wur­den mit Word­Press 7.0.2 geän­dert?

Der offi­zi­el­le Chan­ge­log nennt drei über­ar­bei­te­te Datei­en:

• /wp-includes/rest-api/class-wp-rest-server.php
• /wp-includes/class-wp-query.php
• /wp-includes/rest-api.php

Die Datei­na­men zei­gen, dass die Sicher­heits­kor­rek­tu­ren unmit­tel­bar die REST-API-Ver­ar­bei­tung und zen­tra­le Word­Press-Abfra­gen betref­fen. Pake­te wur­den laut Chan­ge­log nicht über­ar­bei­tet.

Word­Press 7.0.2 instal­lie­ren

Word­Press 7.0.2 kann über den Admi­nis­tra­ti­ons­be­reich instal­liert wer­den:

Dash­board > Aktua­li­sie­run­gen

Alter­na­tiv steht die Ver­si­on im offi­zi­el­len Word­Press-Release-Archiv zur Ver­fü­gung. Für regu­lär ver­wal­te­te Web­sites ist die Aktua­li­sie­rung über das Dash­board in der Regel der ein­fachs­te Weg.

Emp­foh­le­ner Ablauf für das Sicher­heits­up­date

1. Instal­lier­te Word­Press-Ver­si­on prü­fen

Kon­trol­lie­re im Dash­board, wel­che Word­Press-Ver­si­on aktu­ell aktiv ist. Ver­las­se Dich nicht allein auf auto­ma­ti­sche Benach­rich­ti­gun­gen oder die Annah­me, dass ein Update bereits instal­liert wur­de.

2. Voll­stän­di­ges Back­up erstel­len

Siche­re die Daten­bank sowie alle Word­Press-Datei­en. Ein Back­up soll­te nicht nur vor­han­den, son­dern im Ernst­fall auch wie­der­her­stell­bar sein.

3. Sicher­heits­up­date ein­spie­len

Instal­lie­re Word­Press 7.0.2 bezie­hungs­wei­se die für die ein­ge­setz­te Ver­si­ons­li­nie vor­ge­se­he­ne Sicher­heits­ver­si­on. Auf­grund der offi­zi­el­len Emp­feh­lung soll­te die Aktua­li­sie­rung nicht unnö­tig ver­scho­ben wer­den.

4. Cache lee­ren

Lee­re nach dem Update vor­han­de­ne Seiten‑, Objekt‑, Brow­ser- und CDN-Caches, damit kei­ne ver­al­te­ten Res­sour­cen aus­ge­lie­fert wer­den.

5. Kern­funk­tio­nen tes­ten

Prü­fe die Web­site im Front­end und Backend. Beson­ders wich­tig sind Anmel­de­funk­tio­nen, For­mu­la­re, Edi­tor, Schnitt­stel­len, Shop-Pro­zes­se und indi­vi­du­el­le Inte­gra­tio­nen.

6. Pro­to­kol­le kon­trol­lie­ren

Prü­fe vor­han­de­ne Server‑, Sicher­heits- und Anwen­dungs­pro­to­kol­le auf unge­wöhn­li­che Feh­ler oder auf­fäl­li­ge Zugrif­fe.

7. War­tungs­stand doku­men­tie­ren

Hal­te fest, wann die Aktua­li­sie­rung durch­ge­führt wur­de, wel­che Ver­si­on vor­her instal­liert war und wel­che Tests anschlie­ßend erfolgt sind.

Was soll­te nach dem Update getes­tet wer­den?

Was tun, wenn ein sofor­ti­ges Update nicht mög­lich ist?

Die offi­zi­el­le Emp­feh­lung lau­tet, sofort zu aktua­li­sie­ren. Bei kom­ple­xen Unter­neh­mens­sys­te­men kann den­noch eine kur­ze tech­ni­sche Prü­fung erfor­der­lich sein. In die­sem Fall soll­te die Aktua­li­sie­rung mit höchs­ter Prio­ri­tät behan­delt und nicht auf einen regu­lä­ren, weit ent­fern­ten War­tungs­ter­min ver­scho­ben wer­den.

Sinn­vol­le Zwi­schen­maß­nah­men kön­nen sein:

• voll­stän­di­ges Back­up erstel­len
• Web­site und Pro­to­kol­le eng­ma­schig über­wa­chen
• unnö­ti­ge admi­nis­tra­ti­ve Kon­ten deak­ti­vie­ren
• nicht benö­tig­te Plug­ins und Schnitt­stel­len abschal­ten
• Sta­ging-Test unmit­tel­bar durch­füh­ren
• Update-Fens­ter kurz­fris­tig frei­ge­ben

Die­se Schrit­te erset­zen das Sicher­heits­up­date nicht. Sie die­nen ledig­lich dazu, das Risi­ko bis zur schnellst­mög­li­chen Instal­la­ti­on zu redu­zie­ren.

Reicht die Instal­la­ti­on von Word­Press 7.0.2 allein aus?

Das Update schließt die bei­den offi­zi­ell genann­ten Schwach­stel­len im Word­Press-Core. Eine ganz­heit­li­che Sicher­heits­stra­te­gie umfasst jedoch wei­te­re Berei­che.

• aktu­el­le Plug­ins und The­mes
• siche­re Pass­wör­ter und Mehr­fak­tor-Authen­ti­fi­zie­rung
• regel­mä­ßi­ge Back­ups außer­halb des Web­ser­vers
• mini­ma­le Benut­zer­rech­te
• kon­trol­lier­te Admi­nis­tra­tor­zu­gän­ge
• Moni­to­ring und Pro­to­koll­aus­wer­tung
• aktu­el­le PHP- und Ser­ver­um­ge­bung
• regel­mä­ßi­ge tech­ni­sche War­tung

Word­Press 7.0.2 ist damit eine zwin­gen­de Ein­zel­maß­nah­me, aber kein Ersatz für eine dau­er­haft gepfleg­te Sicher­heits­ar­chi­tek­tur.

7‑Punk­te-Pra­xis­leit­fa­den für Word­Press 7.0.2

1. Ver­si­on kon­trol­lie­ren

Prü­fe sofort, wel­che Word­Press-Ver­si­on auf der Web­site instal­liert ist.

2. Back­up anle­gen

Erstel­le ein voll­stän­di­ges und wie­der­her­stell­ba­res Back­up von Daten­bank und Datei­en.

3. Pas­sen­de Sicher­heits­ver­si­on wäh­len

Instal­lie­re Word­Press 7.0.2 oder die für die älte­re Ver­si­ons­li­nie bereit­ge­stell­te Sicher­heits­ver­si­on.

4. Update unver­züg­lich durch­füh­ren

Behand­le das Update mit hoher Prio­ri­tät, da Word­Press aus­drück­lich zur sofor­ti­gen Aktua­li­sie­rung rät.

5. Schnitt­stel­len prü­fen

Tes­te REST-API-basier­te Inte­gra­tio­nen, For­mu­la­re, Apps und exter­ne Ver­bin­dun­gen.

6. Pro­to­kol­le aus­wer­ten

Kon­trol­lie­re Sicher­heits- und Ser­ver­pro­to­kol­le auf unge­wöhn­li­che Zugrif­fe oder Feh­ler.

7. War­tungs­pro­zess ver­bes­sern

Nut­ze das Sicher­heits­re­lease als Anlass, Update‑, Back­up- und Moni­to­ring-Pro­zes­se ver­bind­lich zu doku­men­tie­ren.

Fazit: Word­Press 7.0.2 ist ein drin­gen­des Sicher­heits­up­date

Word­Press 7.0.2 schließt zwei sicher­heits­re­le­van­te Schwach­stel­len. Eine betrifft eine begüns­tig­te SQL Injec­tion. Die zwei­te ver­bin­det eine Ver­wechs­lung bei REST-API-Batch-Rou­ten mit SQL Injec­tion und kann laut WordPress.org bis zur Remo­te Code Exe­cu­ti­on füh­ren.

Des­halb ist die Hand­lungs­emp­feh­lung ein­deu­tig:
Betrof­fe­ne Word­Press-Web­sites soll­ten unver­züg­lich auf Word­Press 7.0.2 bezie­hungs­wei­se auf die bereit­ge­stell­te Sicher­heits­ver­si­on ihrer Ver­si­ons­li­nie aktua­li­siert wer­den.

Betrei­ber von Word­Press 6.9 soll­ten min­des­tens Ver­si­on 6.9.5 instal­lie­ren. Für Word­Press 6.8 steht Ver­si­on 6.8.6 bereit. Da nur die aktu­el­le Word­Press-Ver­si­on aktiv unter­stützt wird, soll­te anschlie­ßend auch der Wech­sel auf die aktu­el­le Haupt­ver­si­on ein­ge­plant wer­den.

Möch­test Du Dei­ne Word­Press-Web­site sicher aktua­li­sie­ren, tech­nisch prü­fen und dau­er­haft pro­fes­sio­nell betreu­en las­sen?
Wir unter­stüt­zen Dich bei Word­Press-Sicher­heits­up­dates, War­tung, Back­ups, tech­ni­scher Opti­mie­rung und der kon­ti­nu­ier­li­chen Betreu­ung Dei­ner Web­site.
Sprich uns ger­ne an.

Herz­li­che Grü­ße
Dein Team von Stra­te­gie­pool