8,9 von 10 Punkten auf der CVSS-Skala: So hoch bewerten Sicherheitsforscher eine Schwachstelle, die WordPress mit dem Security Release 7.0.3 geschlossen hat. Betroffen sind alle WordPress-Versionen – und damit Millionen WooCommerce-Shops, die auf dem CMS laufen. Wer seinen Shop noch nicht aktualisiert hat, sollte das nicht auf die nächste Wartungsrunde schieben.
WordPress 7.0.3 ist ein reines Security-Release ohne neue Features. Es beseitigt insgesamt zwölf Schwachstellen, darunter eine pre-authentication XSS-Lücke im Login-Screen, eine Rechteausweitung in Multisite-Netzwerken und mehrere Stored-XSS-Probleme für Nutzer ab Contributor-Rolle.
Was steckt hinter der XSS-Lücke CVE-2026-64638?
Die kritischste Schwachstelle, katalogisiert als CVE-2026-64638, steckt im Anmeldebildschirm von WordPress. Angreifer brauchen keinen eigenen Account: Über einen präparierten Benutzernamen lässt sich Schadcode in die Fehlerseite eines fehlgeschlagenen Logins einschleusen – ein klassischer Fall von reflektiertem Cross-Site-Scripting, nur eben ohne jede Authentifizierung.
Entdeckt hat die Lücke das Team von pwn.ai. Die Forscher zeigten außerdem, wie sich der Angriff zur sogenannten XSS2Shell-Kette ausbauen lässt: Über DOM Clobbering und die WordPress REST API kann eingeschleuster JavaScript-Code ausgeführt werden. Wird ein eingeloggter Administrator zusätzlich auf eine manipulierte Fremdseite gelockt und interagiert dort, eskaliert der Angriff bis zur Ausführung von PHP-Code auf dem Server.
Ein gezielter Angriff auf einen einzelnen Shop-Administrator hinterlässt keine Spuren in öffentlichen Telemetriedaten – fehlende Exploit-Meldungen bedeuten also nicht fehlendes Risiko.
Bisher gibt es keine bestätigten Berichte über Angriffe in freier Wildbahn. Die Sicherheitscommunity hält Massen-Exploits wegen der nötigen Social-Engineering-Komponente für unwahrscheinlich. Für gezielte Angriffe auf einzelne Shopbetreiber gilt das nicht – und gerade Shops mit Kundendaten und Zahlungsanbindung sind lohnende Ziele.
Was bedeutet das für WooCommerce-Shops?
WooCommerce läuft als Plugin auf WordPress. Eine kompromittierte Core-Installation trifft damit automatisch den gesamten Shop: Kundendaten, Bestellhistorien, im ungünstigsten Fall Schnittstellen zu Payment-Providern. Die gute Nachricht: Ein Update auf 7.0.3 entfernt den verwundbaren Codepfad vollständig. Da es sich um reflektiertes statt gespeichertes XSS handelt, bleiben keine Rückstände in der Datenbank – einmal aktualisiert, ist die Sache erledigt.
Wie sollten Shopbetreiber jetzt vorgehen?
Kurze Antwort: sofort aktualisieren, danach prüfen. Konkret bedeutet das drei Schritte. Erstens das Core-Update auf WordPress 7.0.3 einspielen – idealerweise nach einem frischen Backup, wie bei jedem Update auf einem Livesystem. Zweitens die Admin-Accounts sichten: Wer Zugang zum Backend hat, sollte Zwei-Faktor-Authentifizierung nutzen, denn der Angriff setzt genau auf der Admin-Session auf. Drittens ein Blick in die Server- und Login-Logs der vergangenen Wochen, falls Anlass zum Verdacht besteht, dass ein Administrator schon vor dem Patch Ziel eines Angriffs war.
Wer das Risiko von Core-Updates auf dem Produktivsystem scheut, fährt mit einer Staging-Umgebung besser: Dort lässt sich 7.0.3 in Minuten testen, bevor es live geht. Security-Plugins wie Wordfence oder Patchstack melden solche Lücken übrigens typischerweise schon vor dem offiziellen Release und bieten virtuelle Patches als Überbrückung – ein sinnvoller zweiter Verteidigungsring, aber kein Ersatz für das Core-Update.
WordPress-Core-Updates lassen sich für Minor- und Security-Releases automatisieren. Angesichts einer Lücke, die alle bisherigen Versionen betrifft, ist diese Woche ein guter Moment, die Auto-Update-Einstellung des eigenen Shops zu überprüfen – und bei Dienstleistern nachzufragen, ob Kundensysteme bereits gepatcht sind.