Zwölf geschlossene Sicherheitslücken an einem Tag: Das WordPress-Sicherheitsteam hat am 6. August 2026 die Version 7.0.3 veröffentlicht – ein reines Security-Release ohne neue Features. Für die rund ein Drittel aller Online-Shops, die auf WordPress und WooCommerce setzen, ist das kein Randthema, sondern Pflichtprogramm. Wer den Update-Hinweis im Dashboard ignoriert, lässt die Ladentür offen stehen.
Die schwerste Schwachstelle trägt die Kennung CVE-2026-64638 und wurde vom Sicherheitsteam von pwn.ai gemeldet: ein Reflected-Cross-Site-Scripting-Bug auf der Login-Seite, der bereits vor jeder Authentifizierung ausgenutzt werden kann. Klickt ein Admin auf einen präparierten Link, kann der Angreifer die Sitzung übernehmen und im schlimmsten Fall eigenen PHP-Code auf dem Server ausführen. Mit einem CVSS-Score von 8,9 gilt die Lücke als hochkritisch.
Was steckt konkret in WordPress 7.0.3?
Neben der Login-Lücke adressiert das Release vier Stored-XSS-Probleme, die Angreifern ab Contributor-Rechten offenstanden – unter anderem im Post-Content-Block, im Quick-Edit-Interface und bei der Emoji-Verarbeitung in Beiträgen. Dazu kommen eine Privilege-Escalation in Multisite-Netzwerken mit offener Registrierung, eine CSS-Injection ab Author-Rechten, ein Bypass der E-Mail-Verifizierung, eine Server-Side-Request-Forgery-Schwachstelle sowie mehrere Informationslecks. Gemeldet wurden die Bugs unter anderem von Forschern bei Anthropic und Aikido Security.
Die Fixes wurden, wie bei Security-Releases üblich, auf ältere Zweige zurückportiert – offiziell bis hinab zu WordPress 4.7. Trotzdem gilt: Aktiv unterstützt wird nur die jeweils aktuelle Version. Parallel ist WordPress 7.1 RC2 erschienen, das bereits alle Korrekturen enthält. Wer auf dem Release-Candidate-Zweig testet, sollte dort ebenfalls nachziehen.
Warum betrifft das gerade WooCommerce-Betreiber besonders?
Ein kompromittierter Shop ist mehr als ein defektes Blog. Wer Admin-Zugang über eine der XSS-Lücken erlangt, kann Bestelldaten einsehen, Zahlungsdaten-Weiterleitungen manipulieren oder Schadcode in den Checkout einschleusen. Magecart-ähnliche Angriffe auf skimmende Scripts im Bezahlvorgang haben in den vergangenen Jahren wiederholt gezeigt, wie lukrativ infizierte Shops für Angreifer sind – und wie teuer die Folgen für Händler: Bußgelder nach DSGVO, Chargebacks, Reputationsschaden.
Die gute Nachricht für Betreiber verwalteter Umgebungen: Hosting-Anbieter mit automatischen Hintergrund-Updates haben bereits reagiert. WordPress VIP beispielsweise hat das Release flächendeckend auf alle Sites mit Version 7.0.2 ausgerollt. Wer seinen Shop selbst hostet oder beim Shared-Hoster sitzt, muss dagegen selbst aktiv werden – über Dashboard → Aktualisierungen oder per WP-CLI mit wp core update gefolgt von wp core update-db.
Wie sollten Händler jetzt vorgehen?
Zuerst prüfen, ob automatische Updates für Minor-Releases aktiv sind – in der wp-config.php steuert das die Konstante WP_AUTO_UPDATE_CORE. Danach das Update einspielen, Object- und Edge-Caches leeren und die Checkout-Strecke einmal testweise durchklicken. Sicherheits-Plugins wie Patchstack oder Wordfence haben für die kritischsten Lücken bereits virtuelle Patches verteilt; das ersetzt das Core-Update aber nicht, sondern überbrückt höchstens die Zeit bis dahin.
Wer aus operativen Gründen nicht sofort aktualisieren kann, sollte zumindest die Login-Seite zusätzlich absichern – etwa per IP-Restriction auf wp-admin oder eine vorgeschaltete Web-Application-Firewall. Das ist ein Pflaster, keine Therapie. Die nächste Gelegenheit, den Patch-Zyklus zu verschlafen, kommt bestimmt: Mit WordPress 7.1 steht bereits das nächste Major-Release in den Startlöchern – und wer jetzt auf 7.0.3 bleibt, startet diesen Umstieg aus einer sauberen Position.