Zwölf Sicherheitslücken auf einen Schlag – so viele gab es im WordPress-Core selten. Mit dem Security-Release WordPress 7.0.3, veröffentlicht am 6. August 2026, schließt das Core-Team ein ganzes Bündel an Schwachstellen. Für Shopbetreiber auf WooCommerce-Basis ist das kein Routine-Update. Die kritischste Lücke sitzt ausgerechnet im Login-Screen – der Angriffsfläche, über die Admin-Sessions und damit der gesamte Shop kompromittiert werden können.
Bewertet wird diese Schwachstelle mit 8,9 von 10 Punkten, also als hochkritisch. Es handelt sich um eine Pre-Auth-XSS-Lücke: Angreifer brauchen kein eigenes Konto auf der Website. Über eine präparierte Drittanbieter-Seite lässt sich die Lücke laut dem offiziellen WordPress-Security-Repository bis zur Remote-Code-Execution eskalieren – allerdings nur, wenn ein eingeloggter Nutzer per Social Engineering zur Interaktion gebracht wird. Betroffen sind alle WordPress-Versionen; der Fix wurde als Entgegenkommen bis zurück auf Branch 4.7 portiert.
Was steckt noch in WordPress 7.0.3?
Neben dem Login-XSS listet das Release weitere Schwachstellen, die für Shop-Umgebungen relevant sind. Drei davon stechen heraus:
- Eine SSRF-Lücke (Server-Side Request Forgery) in der URL-Validierung, die Requests in link-lokale IP-Bereiche erlaubt – potenziell ein Weg zu internen Serverdaten.
- Eine Rechteausweitung auf Multisite-Netzwerken mit offener Registrierung, über die Nutzer eigenmächtig neue Sites anlegen können.
- Mehrere Stored-XSS-Probleme mit Contributor-Rechten, unter anderem im Post-Date-Block, im Post-Content-Block und in Quick Edit.
Ergänzend dichtet das Release eine Informationslücke im Latest-Comments-Block ab, die Kommentare zu passwortgeschützten Beiträgen offenlegte, sowie einen Bypass der E-Mail-Bestätigung und eine CSS-Injection ab Autoren-Level. Für Händler mit Redaktionsteams oder Gastautoren ist das mehr als Fußnoten-Material: Contributor-Accounts gelten gemeinhin als ungefährlich, genau hier setzen vier der zwölf Lücken an.
Warum häufen sich die Core-Fundstellen gerade jetzt?
Hinter dem ungewöhnlichen Cluster steckt kein Qualitätsverfall, sondern KI-gestütztes Pentesting. Nachdem vor wenigen Wochen der Fund „WP2Shell“ für Schlagzeilen sorgte, meldeten laut Patchstack-Gründer Oliver Sild nun Sicherheitsteams von Anthropic, pwn_ai und Aikido Security weitere Core-Lücken – KI-Agenten durchkämmen den Code offenbar schneller, als es menschliche Researcher je konnten.
„Der übelste Fund ist ein Login-Screen-XSS, der über Social Engineering zur Remote Code Execution führen könnte. Zum Glück aktualisiert sich WordPress schnell automatisch, und keine der Lücken ist massenhaft ausnutzbar.“ – Oliver Sild, Patchstack
Diese Einschätzung deckt sich mit der Beobachtung von Patchstack, dass bislang keine aktive Ausnutzung in freier Wildbahn sichtbar ist. Die Hürde des nötigen Social Engineerings macht die XSS-Lücke für automatisierte Massenangriffe unattraktiv. Gezielte Angriffe auf einzelne Shops mit hohem Umsatz sind davon allerdings nicht ausgeschlossen – gerade dort sitzen Admin-Konten mit weitreichenden Rechten.
Was müssen Shopbetreiber jetzt tun?
Die Antwort ist kurz: aktualisieren, prüfen, absichern. Konkret heißt das für WooCommerce-Umgebungen, das Core-Update sofort einzuspielen und auf Staging zuerst zu testen, wenn Custom-Themes oder Pagebuilder den Login-Screen und den Editor anfassen. Multisite-Betreiber sollten zusätzlich kontrollieren, ob die Nutzerregistrierung netzwerkweit wirklich offen sein muss. Wer die Login-Seite ohnehin hinter eine WAF oder zusätzliche Absicherung legt – etwa über Patchstack, Wordfence oder eine serverseitige Basic-Auth-Hürde für wp-login.php – reduziert die Restlaufzeit bis zum Patch spürbar.
Das eigentliche Signal dieses Releases liegt aber woanders: KI-Tools finden Core-Lücken im Wochentakt, und die nächste Schwachstellen-Serie ist bereits programmiert. Shops, die ihren Update-Prozess noch manuell und monatlich fahren, werden in diesem Rhythmus strukturell zu langsam sein.