Sicher­heits­up­date schließt 12 Schwach­stel­len

Word­Press 7.0.3 wur­de am 6. August 2026 ver­öf­fent­licht und ist ein wich­ti­ges Sicher­heits­up­date für Word­Press-Web­sites. Nach den offi­zi­el­len Ver­si­ons­hin­wei­sen schließt das Release ins­ge­samt 12 Sicher­heits­lü­cken. Dazu gehö­ren meh­re­re Cross-Site-Scrip­ting-Schwach­stel­len (XSS), eine Ser­ver-Side-Request-For­gery-Lücke (SSRF), eine Rech­te­aus­wei­tung in Mul­ti­si­te-Instal­la­tio­nen sowie eine Schwach­stel­le auf dem Word­Press-Log­in, die unter bestimm­ten Vor­aus­set­zun­gen bis zur Aus­füh­rung von PHP-Code füh­ren kann.

Word­Press emp­fiehlt Web­site-Betrei­bern des­halb aus­drück­lich, ihre Instal­la­tio­nen sofort zu aktua­li­sie­ren. Das Sicher­heits­re­lease betrifft zudem nicht nur Word­Press 7.0: Für zahl­rei­che älte­re Ver­si­ons­li­ni­en wur­den eben­falls Sicher­heits­up­dates bereit­ge­stellt.

Die zen­tra­le Fra­ge lau­tet: Wel­che Sicher­heits­lü­cken behebt Word­Press 7.0.3, wer ist betrof­fen und was soll­ten Web­site-Betrei­ber jetzt kon­kret tun?

War­um Word­Press 7.0.3 ein beson­ders wich­ti­ges Update ist

Nicht jedes Word­Press-Update besitzt die glei­che Dring­lich­keit. War­tung­s­up­dates kor­ri­gie­ren häu­fig klei­ne­re tech­ni­sche Feh­ler oder ver­bes­sern die Sta­bi­li­tät. Word­Press 7.0.3 ist dage­gen aus­drück­lich ein Sicher­heits­re­lease.

Die Band­brei­te der beho­be­nen Schwach­stel­len ist erheb­lich. Sie reicht von Cross-Site Scrip­ting und Infor­ma­ti­ons­preis­ga­be über Ser­ver-Side Request For­gery bis hin zu einer mög­li­chen Rech­te­aus­wei­tung und einer Angriffs­ket­te mit poten­zi­el­ler PHP-Code-Aus­füh­rung.

Für Unter­neh­men bedeu­tet das: Das Update soll­te nicht bis zum nächs­ten regu­lä­ren War­tungs­ter­min auf­ge­scho­ben wer­den. Wer eine betrof­fe­ne Word­Press-Ver­si­on betreibt, soll­te den Ver­si­ons­stand kon­trol­lie­ren, ein Back­up erstel­len und die Aktua­li­sie­rung kurz­fris­tig durch­füh­ren.

Wel­che 12 Sicher­heits­lü­cken behebt Word­Press 7.0.3?

Cross-Site Scrip­ting: Meh­re­re XSS-Lücken gleich­zei­tig geschlos­sen

Auf­fäl­lig an Word­Press 7.0.3 ist die Zahl der beho­be­nen Cross-Site-Scrip­ting-Schwach­stel­len. Meh­re­re der zwölf Sicher­heits­pro­ble­me fal­len in die­se Kate­go­rie.

Bei Cross-Site Scrip­ting kann es einem Angrei­fer gelin­gen, mani­pu­lier­ten Java­Script- oder ande­ren akti­ven Code in eine Web­site ein­zu­schleu­sen. Wird die­ser Inhalt anschlie­ßend von einem ande­ren Nut­zer auf­ge­ru­fen, kann der Code im Brow­ser die­ses Nut­zers aus­ge­führt wer­den.

Stored XSS ist beson­ders rele­vant

Bei einer Stored-XSS-Schwach­stel­le wird der mani­pu­lier­te Inhalt dau­er­haft gespei­chert. Dadurch muss ein Angrei­fer sein Opfer nicht zwin­gend auf einen spe­zi­ell prä­pa­rier­ten exter­nen Link füh­ren. Der schäd­li­che Inhalt kann direkt inner­halb der betrof­fe­nen Web­site lie­gen.

Word­Press 7.0.3 kor­ri­giert Stored-XSS-Pro­ble­me unter ande­rem im Post Date Block, im Post Con­tent Block, über das Emo­ji-Set­tings-Ele­ment sowie im Bereich Quick Edit.

Pre-Auth XSS auf dem Word­Press-Log­in

Beson­ders auf­merk­sam macht eine Schwach­stel­le auf dem Word­Press-Anmel­de­bild­schirm. Word­Press beschreibt sie als Pre-Auth Reflec­ted Cross-Site Scrip­ting mit dem Poten­zi­al, zur Aus­füh­rung von PHP-Code zu füh­ren.

„Pre-Auth“ bedeu­tet, dass der Angriff grund­sätz­lich bereits vor einer erfolg­rei­chen Anmel­dung rele­vant sein kann. Gera­de Sicher­heits­pro­ble­me, die kei­ne vor­he­ri­ge Authen­ti­fi­zie­rung vor­aus­set­zen, ver­die­nen beson­de­re Auf­merk­sam­keit.

Für Web­site-Betrei­ber ist die tech­ni­sche Angriffs­ket­te im Detail weni­ger wich­tig als die Kon­se­quenz: Die von Word­Press bereit­ge­stell­te Sicher­heits­kor­rek­tur soll­te unver­züg­lich instal­liert wer­den.

Ser­ver-Side Request For­gery: Word­Press schließt SSRF-Lücke

Eine wei­te­re Schwach­stel­le betrifft die URL-Vali­die­rung. Durch eine Ser­ver-Side Request For­gery (SSRF) waren Anfra­gen an soge­nann­te Link-Local-Adress­be­rei­che mög­lich.

Bei SSRF wird nicht der Brow­ser des Besu­chers, son­dern der Web­ser­ver selbst dazu gebracht, uner­wünsch­te Netz­werk­ab­fra­gen aus­zu­füh­ren. Je nach Hos­ting- und Cloud-Umge­bung kann dies sicher­heits­re­le­vant sein, weil inter­ne oder ansons­ten nicht öffent­lich erreich­ba­re Res­sour­cen ange­spro­chen wer­den könn­ten.

Word­Press Mul­ti­si­te: Rech­te­aus­wei­tung geschlos­sen

Word­Press 7.0.3 kor­ri­giert außer­dem eine Pri­vi­le­ge-Escala­ti­on-Schwach­stel­le in Mul­ti­si­te-Netz­wer­ken. Betrof­fen waren Kon­fi­gu­ra­tio­nen, bei denen die Benut­zer­re­gis­trie­rung akti­viert war.

Laut den offi­zi­el­len Ver­si­ons­hin­wei­sen konn­te ein Benut­zer unter die­sen Vor­aus­set­zun­gen eine neue Web­site inner­halb des Mul­ti­si­te-Netz­werks erstel­len. Für Betrei­ber grö­ße­rer Word­Press-Netz­wer­ke ist die­se Kor­rek­tur ent­spre­chend rele­vant.

Infor­ma­ti­ons­preis­ga­be bei pass­wort­ge­schütz­ten Bei­trä­gen

Eine wei­te­re Sicher­heits­kor­rek­tur betrifft den Block „Neu­es­te Kom­men­ta­re“. Die­ser konn­te Kom­men­ta­re zu pass­wort­ge­schütz­ten Bei­trä­gen offen­le­gen.

Pass­wort­schutz soll Inhal­te nur einem begrenz­ten Per­so­nen­kreis zugäng­lich machen. Wenn dazu­ge­hö­ri­ge Kom­men­ta­re den­noch an ande­rer Stel­le sicht­bar wer­den, kann dies Infor­ma­tio­nen offen­le­gen, die eigent­lich Teil des geschütz­ten Kon­tex­tes sind.

Wel­che älte­ren Word­Press-Ver­sio­nen sind betrof­fen?

Die Sicher­heits­pro­ble­me betref­fen nicht aus­schließ­lich Word­Press 7.0. Word­Press hat des­halb aus Kulanz auch für zahl­rei­che älte­re Ver­si­ons­zwei­ge Sicher­heits­up­dates bereit­ge­stellt.

Wich­tig ist dabei der aus­drück­li­che Hin­weis von Word­Press: Nur die aktu­ells­te Word­Press-Ver­si­on wird aktiv unter­stützt. Dass Sicher­heits­kor­rek­tu­ren auch für älte­re Ver­si­ons­zwei­ge bereit­ge­stellt wur­den, ist kein Argu­ment dafür, dau­er­haft auf einer ver­al­te­ten Word­Press-Ver­si­on zu blei­ben.

Wel­che Datei­en wur­den in Word­Press 7.0.3 geän­dert?

Der offi­zi­el­le Chan­ge­log nennt zehn über­ar­bei­te­te Core-Datei­en:

• /wp-admin/includes/user.php
• /wp-admin/js/inline-edit-post.js
• /wp-includes/canonical.php
• /wp-includes/class-wp-script-modules.php
• /wp-includes/http.php
• /wp-includes/js/wp-emoji-loader.js
• /wp-includes/kses.php
• /wp-includes/user.php
• /wp-login.php
• /wp-signup.php

Laut Word­Press wur­den mit die­sem Release kei­ne Pake­te über­ar­bei­tet.

Word­Press 7.0.3 instal­lie­ren: So soll­ten Web­site-Betrei­ber vor­ge­hen

1. Aktu­ell instal­lier­te Word­Press-Ver­si­on prü­fen.
2. Voll­stän­di­ges Back­up von Datei­en und Daten­bank erstel­len.
3. Bei geschäfts­kri­ti­schen Web­sites gege­be­nen­falls einen kur­zen Sta­ging-Test durch­füh­ren.
4. Word­Press 7.0.3 über „Dash­board > Aktua­li­sie­run­gen“ instal­lie­ren.
5. Cache- und CDN-Sys­te­me bei Bedarf lee­ren.
6. Front­end, Backend, Log­in, For­mu­la­re und wich­ti­ge Funk­tio­nen tes­ten.
7. Ser­ver- und Sicher­heits­pro­to­kol­le auf Auf­fäl­lig­kei­ten kon­trol­lie­ren.

Was soll­te nach dem Sicher­heits­up­date getes­tet wer­den?

7‑Punk­te-Pra­xis­leit­fa­den für Word­Press 7.0.3

1. Ver­si­ons­stand sofort kon­trol­lie­ren

Prü­fe im Word­Press-Dash­board, ob bereits Word­Press 7.0.3 oder eine ent­spre­chen­de Sicher­heits­ver­si­on instal­liert ist.

2. Back­up erstel­len

Siche­re Daten­bank, Uploads, Plug­ins, The­mes und indi­vi­du­el­le Datei­en voll­stän­dig und wie­der­her­stell­bar.

3. Sicher­heits­up­date prio­ri­sie­ren

Behand­le Word­Press 7.0.3 nicht wie ein gewöhn­li­ches War­tung­s­up­date. Word­Press emp­fiehlt aus­drück­lich die sofor­ti­ge Instal­la­ti­on.

4. Ver­al­te­te Word­Press-Ver­sio­nen nicht dau­er­haft wei­ter­be­trei­ben

Auch wenn für älte­re Ver­si­ons­zwei­ge Sicher­heits­kor­rek­tu­ren bereit­ge­stellt wur­den, wird nur die aktu­el­le Word­Press-Ver­si­on aktiv unter­stützt.

5. Web­site nach dem Update tes­ten

Prü­fe ins­be­son­de­re Log­in, Edi­tor, Quick Edit, Kom­men­ta­re, For­mu­la­re, Benut­zer­funk­tio­nen und gege­be­nen­falls Mul­ti­si­te-Pro­zes­se.

6. Sicher­heits­pro­to­kol­le kon­trol­lie­ren

Über­prü­fe Server‑, Log­in- und Secu­ri­ty-Logs auf unge­wöhn­li­che Akti­vi­tä­ten und uner­war­te­te Feh­ler­mel­dun­gen.

7. Word­Press-War­tung als Pro­zess eta­blie­ren

Regel­mä­ßi­ge Updates, Back­ups, Moni­to­ring und Funk­ti­ons­tests soll­ten fes­ter Bestand­teil des Betriebs pro­fes­sio­nel­ler Word­Press-Web­sites sein.

Fazit: Word­Press 7.0.3 soll­te sofort instal­liert wer­den

Word­Press 7.0.3 ist eines der wich­ti­ge­ren Sicher­heits­up­dates der aktu­el­len Ver­si­ons­rei­he. Ins­ge­samt wer­den 12 doku­men­tier­te Schwach­stel­len geschlos­sen. Die Band­brei­te reicht von meh­re­ren XSS-Pro­ble­men über Infor­ma­ti­ons­preis­ga­ben und eine Mul­ti­si­te-Rech­te­aus­wei­tung bis hin zu SSRF und einer Pre-Auth-XSS-Schwach­stel­le mit poten­zi­el­ler PHP-Code-Aus­füh­rung.

Die wich­tigs­te Erkennt­nis lau­tet des­halb: Wer eine betrof­fe­ne Word­Press-Ver­si­on betreibt, soll­te das bereit­ge­stell­te Sicher­heits­up­date unver­züg­lich instal­lie­ren und die Web­site anschlie­ßend auf ihre wich­tigs­ten Funk­tio­nen prü­fen.

Dass Word­Press Sicher­heits­kor­rek­tu­ren auch für zahl­rei­che älte­re Ver­si­ons­li­ni­en bereit­stellt, soll­te dabei nicht falsch ver­stan­den wer­den. Lang­fris­tig gehört eine aktu­el­le und aktiv unter­stütz­te Word­Press-Ver­si­on zu den Grund­la­gen eines pro­fes­sio­nel­len und siche­ren Web­site-Betriebs.

Möch­test Du Dei­ne Word­Press-Web­site sicher aktua­li­sie­ren, tech­nisch prü­fen und dau­er­haft pro­fes­sio­nell betreu­en las­sen? Wir unter­stüt­zen Dich bei Word­Press-Sicher­heits­up­dates, War­tung, Back­ups, tech­ni­scher Opti­mie­rung und der kon­ti­nu­ier­li­chen Betreu­ung Dei­ner Web­site. Sprich uns ger­ne an.

Herz­li­che Grü­ße
Dein Team von Stra­te­gie­pool