Am 17. Juli 2026 hat WordPress Version 7.0.2 veröffentlicht – ein reines Sicherheitsrelease. Geschlossen werden eine kritische und eine hoch eingestufte Schwachstelle, beide mit Bezug zu SQL-Injection [WordPress.org]. Weil die Einstufung so hoch ist, hat das WordPress.org-Team automatische Zwangs-Updates über das Auto-Update-System für betroffene Versionen aktiviert. Trotzdem lohnt sich ein kurzer, eigener Blick – gerade wenn du Auto-Updates aus gutem Grund deaktiviert hast.
Was genau behoben wurde
Zwei Schwachstellen wurden gemeldet und in diesem Release geschlossen [WordPress.org]:
- Eine sogenannte „facilitated” SQL-Injection-Lücke, gemeldet von einem Team aus TF1T, dtro und haongo.
- Eine Schwachstelle durch eine Verwechslung von REST-API-Batch-Routen in Kombination mit SQL-Injection, die bis zur Remote Code Execution führen kann – gemeldet von Adam Kues (Assetnote / Searchlight Cyber).
Vor allem der zweite Punkt ist der, der aufhorchen lassen sollte: Remote Code Execution bedeutet im schlimmsten Fall, dass jemand von außen Code auf deinem Server ausführen kann – ohne dass du etwas falsch gemacht hättest. Das ist keine Konfigurationslücke, sondern ein Fehler im Core selbst.
Wer ist betroffen?
Laut WordPress.org betrifft das die folgenden Versionslinien [WordPress.org]:
- WordPress 6.9.x – von beiden Schwachstellen betroffen, behoben in 6.9.5
- WordPress 6.8.x – nur von der ersten Schwachstelle betroffen, behoben in 6.8.6
- WordPress 7.1 Beta – ebenfalls von beiden betroffen, behoben in Beta 2
- Versionen vor 6.8 sind nicht betroffen
Wer aktuell auf 7.0.x läuft, sollte auf 7.0.2 aktualisieren. Wer noch auf einer älteren, aber unterstützten Linie (6.8 oder 6.9) unterwegs ist, bekommt ebenfalls einen passenden Sicherheits-Patch.
Was du jetzt tun solltest
- Im WordPress-Dashboard unter „Aktualisierungen” nachsehen, ob 7.0.2 (oder die passende Backport-Version) bereits installiert ist.
- Falls automatische Hintergrund-Updates bei dir aktiv sind: trotzdem einmal manuell nachschauen, ob das Update tatsächlich durchgelaufen ist. Zwangs-Updates greifen in aller Regel zuverlässig, aber „in aller Regel” ist nicht „immer”.
- Falls du Auto-Updates bewusst deaktiviert hast (etwa wegen eines Staging-Workflows): jetzt manuell updaten, nicht auf den nächsten regulären Wartungstermin warten.
- Bei individuell entwickelten Plugins oder Themes, die direkt mit der REST-API oder eigenen SQL-Queries arbeiten: kurz prüfen, ob dort ähnliche Muster vorkommen – das Kernproblem lag in der Verarbeitung von Batch-Routen.
Ich bekomme regelmäßig die Frage, warum ich bei Sicherheitsreleases wie diesem nicht einfach blind aufs Auto-Update vertraue. Die kurze Antwort: weil ein Zwangs-Update zwar bei WordPress selbst greift, aber nichts darüber aussagt, ob dein Hosting das Update sauber ausgeführt hat oder ob ein eigenes Plugin danach noch funktioniert. Ein kurzer Blick nach dem Update kostet zwei Minuten.
Mehr zum Thema, warum Updates allein oft nicht reichen, habe ich hier zusammengefasst: WordPress-Sicherheit 2026: Warum Updates allein nicht reichen.
Häufige Fragen
Muss ich manuell updaten, wenn Auto-Updates aktiv sind?
Nicht zwingend, das Zwangs-Update sollte automatisch greifen. Ein kurzer Blick ins Dashboard schadet trotzdem nicht – gerade bei einem Release dieser Kritikalität.
Bin ich betroffen, wenn ich WordPress 6.7 oder älter nutze?
Laut offizieller Angabe sind Versionen vor 6.8 nicht betroffen. Trotzdem: eine so alte Version bringt eigene Risiken mit sich, unabhängig von diesem konkreten Release.
Was, wenn ich eigene Plugins mit der REST-API einsetze?
Dann lohnt sich ein Blick in den eigenen Code, ob ähnliche Muster bei der Verarbeitung von Batch-Routen oder Datenbankabfragen vorkommen. Im Zweifel gerne bei mir melden, ich schaue mir das an.
Wenn du unsicher bist, ob dein Update sauber durchgelaufen ist, oder grundsätzlich jemanden suchst, der ein Auge auf solche Releases hat: Das ist genau der Kern meiner WordPress-Wartung. Schreib mir einfach über die Kontaktseite.