Am 6. August 2026 hat WordPress Version 7.0.3 veröffentlicht – ein reines Sicherheitsupdate. Zwölf Schwachstellen wurden geschlossen, die meisten unauffällig. Eine davon nicht: eine Pre-Authentication-XSS-Lücke im Login-Screen, die jede WordPress-Version betrifft, ganz ohne Login ausnutzbar ist [WordPress.org News]. Wenn du dein WordPress nicht automatisch aktualisierst, ist das einer der Fälle, bei denen sich ein Blick ins Backend diese Woche wirklich lohnt.
Was ist CVE-2026-64638 genau?
Die Lücke trägt die Kennung CVE-2026-64638 und einen CVSS-Wert von 8.9 [The Hacker News]. Sie steckt in der Fehlerseite des Login-Bildschirms: Ein präparierter Benutzername reicht, damit beim fehlgeschlagenen Login-Versuch JavaScript im Browser der besuchenden Person ausgeführt wird – ganz ohne dass diese Person etwas anklickt oder bestätigt [Falcon Internet Blog].
Das Unangenehme daran ist die Kombination aus zwei Dingen: Erstens braucht ein Angreifer keinerlei Zugangsdaten, die Lücke ist „pre-auth“. Zweitens betrifft sie den Login-Screen, also einen Bereich, den praktisch jede WordPress-Seite öffentlich erreichbar hat.
Wie gefährlich ist das wirklich?
Sicherheitsforscher von pwn.ai haben gezeigt, wie sich die Lücke unter bestimmten Bedingungen bis zur PHP-Code-Ausführung auf dem Server weiterverfolgen lässt – dafür muss allerdings eine angemeldete administrierende Person mit einer präparierten Seite interagieren, zusätzlich zu Social Engineering [The Hacker News]. WordPress selbst weist in seinem Advisory darauf hin, dass die Eskalation zur Remote-Code-Execution Bedingungen voraussetzt, die außerhalb der Kontrolle des Angreifers liegen [Patchstack].
Schon mal überlegt, was allein die XSS-Lücke für sich genommen anrichten kann? Auch ohne den Sprung zur Code-Ausführung reicht sie, um Session-Cookies zu stehlen oder eine gefälschte Login-Maske einzublenden, die Zugangsdaten abgreift. Für eine öffentliche Website mit Login-Bereich ist das schon genug Grund, nicht zu warten.
Was WordPress 7.0.3 sonst noch behebt
Die zwölf geschlossenen Lücken decken ein breites Spektrum ab: reflektiertes und gespeichertes XSS, Rechteausweitung, das Offenlegen von Informationen, CSS-Injection, eine Umgehung der E-Mail-Verifizierung und Server-Side Request Forgery [Patchstack]. Die Fixes wurden bis zurück zum 4.7-Zweig portiert – WordPress unterstützt also auch ältere, gepflegte Versionen mit demselben Patch [WordPress.org News].
Was du jetzt tun solltest
- Im Backend unter „Dashboard → Updates“ prüfen, ob 7.0.3 (oder die passende gepatchte Version deines Zweigs) schon installiert ist.
- Falls nicht: Update jetzt einspielen, nicht erst beim nächsten geplanten Wartungstermin.
- Automatische Hintergrund-Updates für Sicherheitsreleases kontrollieren – bei den meisten Installationen sind die standardmäßig aktiv, aber das lohnt sich, einmal nachzusehen.
- Wenn das Update aus irgendeinem Grund erst verzögert läuft: Login-Versuche und Admin-Konten in der Zwischenzeit im Auge behalten.
Ich sehe bei den Seiten, die ich betreue, immer wieder denselben Unterschied: Wo automatische Sicherheitsupdates zuverlässig laufen und trotzdem jemand kontrolliert, ob sie auch wirklich durchgekommen sind, bleibt so eine Meldung eine Randnotiz. Überall sonst wird daraus schnell ein Wochenende, das man sich anders vorgestellt hatte.
FAQ
Muss ich manuell updaten, oder erledigt WordPress das automatisch?
Sicherheitsreleases wie 7.0.3 werden bei den meisten Installationen automatisch im Hintergrund eingespielt, sofern diese Funktion nicht deaktiviert wurde. Trotzdem lohnt sich eine kurze Kontrolle, gerade bei einer Lücke dieser Größenordnung.
Reicht es, nur WordPress zu aktualisieren, oder muss ich auch Plugins prüfen?
Für diese spezielle Lücke reicht das WordPress-Core-Update. Unabhängig davon bleiben Plugins die häufigere Angriffsfläche – ein separater Blick dorthin schadet nie.
Ist meine Seite schon angegriffen worden, wenn ich jetzt erst update?
Nicht zwangsläufig. Ein Update nach Bekanntwerden schließt die Lücke für die Zukunft. Wenn du unsicher bist, ob vorher schon etwas passiert ist, hilft ein Blick in ungewöhnliche Admin-Konten oder auffällige Login-Aktivität in den Server-Logs.
Betrifft das auch ältere WordPress-Versionen?
Ja. Die Patches wurden bis zum 4.7-Zweig zurückportiert – auch wer aus guten Gründen eine ältere, aber noch gepflegte Version einsetzt, sollte die passende Sicherheitsversion einspielen.
Ich behalte solche Sicherheitsmeldungen für meine Wartungskunden laufend im Blick und spiele Updates zeitnah ein, statt zu warten, bis etwas passiert. Wenn du dein WordPress lieber in verlässlichen Händen weißt, statt selbst jede CVE-Meldung zu verfolgen, schau dir gerne meine WordPress-Wartung an oder schreib mir kurz.
Mehr zum Thema: WordPress-Sicherheit 2026: Warum Plugin-Updates allein nicht mehr reichen und Soforthilfe-Checkliste bei WordPress-Hack.
Quellen
- WordPress.org News: „WordPress 7.0.3 Release“, 6. August 2026
- Patchstack: „WordPress 7.0.3 Released: 12 Vulnerabilities Found and Fixed“
- The Hacker News: „New WordPress Pre-Auth XSS Could Lead to PHP Code Execution“
- Falcon Internet Blog: „XSS2Shell: WordPress Login Screen XSS Chains to PHP Code Execution“