Das WordPress-Core-Team hat am 6. August 2026 den Security Release 7.0.3 veröffentlicht. Er schließt zwölf Sicherheitslücken auf einen Schlag, drei davon stufen die Entwickler als ernst ein. Die schwerste Schwachstelle erreicht einen CVSS-Score von 8,9 von 10 – und betrifft ausgerechnet den Login-Bildschirm.
Ein beteiligter Sicherheitsforscher bezeichnete die Login-XSS-Lücke als die „unangenehmste“ des gesamten Pakets. Über sie können Angreifer Schadcode in die Anmeldeseite einschleusen. Klickt ein Administrator oder Shop-Manager auf einen präparierten Link, läuft das Script mit dessen Rechten. Für E-Commerce-Betreiber ist das kein abstraktes Risiko: Wer WooCommerce einsetzt, führt seine komplette Warenwirtschaft, Kundendaten und Bestellungen über genau dieses Backend.
Was genau steckt im WordPress 7.0.3 Update?
Der Release ist ein reines Sicherheitsupdate ohne neue Features. Neben der Login-XSS-Schwachstelle behebt Version 7.0.3 elf weitere Lücken im Core. Details zu den einzelnen Schwachstellen hält das Core-Team bewusst zurück – übliche Praxis, damit Angreifer keine Blaupause erhalten, bevor die Mehrheit der Installationen gepatcht ist.
Alle WordPress-Versionen vor 7.0.3 gelten als verwundbar. Installationen mit aktivierten automatischen Hintergrund-Updates erhalten den Patch ohne Zutun. Wer Auto-Updates deaktiviert hat – bei Shop-Umgebungen aus Stabilitätsgründen keine Seltenheit – muss manuell über das Dashboard oder per WP-CLI aktualisieren.
Warum trifft das WooCommerce-Händler besonders hart?
WooCommerce läuft auf über einem Drittel aller WordPress-basierten Shops im deutschsprachigen Raum. Eine kompromittierte Admin-Session bedeutet hier mehr als defaced Seiten: Angreifer können Zahlungsdaten manipulieren, Kundendaten abziehen oder Schadcode in den Checkout injizieren. Genau dieses Szenario – Magecart-artige Skimming-Angriffe über XSS – hat in den vergangenen Jahren wiederholt für Schlagzeilen und DSGVO-Meldepflichten gesorgt.
Die Angriffsfläche wächst mit jedem Tag ohne Patch. Erfahrungsgemäß dauert es nach der Veröffentlichung eines WordPress-Security-Releases nur wenige Tage, bis erste Exploit-Versuche in freier Wildbahn auftauchen. Sicherheitsdienstleister wie Wordfence beobachten dieses Muster bei jedem größeren Core-Release und passen ihre Firewall-Regeln entsprechend an – wer ein solches Plugin im Einsatz hat, sollte prüfen, ob die Regeln aktuell sind.
Wie sollten Shopbetreiber jetzt vorgehen?
Die Antwort ist eindeutig: Sofort aktualisieren. Anders als bei Feature-Releases tragen Security-Releases praktisch kein Bruchrisiko mit sich. Das Core-Team liefert hier nur Patches, keine Änderungen an APIs oder Templates, die Themes oder Plugins stören könnten.
Wer trotzdem auf Nummer sicher gehen will, fährt eine kurze, kontrollierte Strecke: Backup ziehen, auf Staging testen, live schalten. Das dauert mit einem Managed-Hoster oder einer Staging-Umgebung unter einer Stunde. Wer kein Staging hat, sollte zumindest ein vollständiges Backup anfertigen, bevor er den Update-Button im Dashboard drückt.
Ein zweiter Blick gilt den Benutzerkonten. Da die kritischste Lücke über den Login-Bildschirm läuft, lohnt der Audit: Existieren noch alte Admin-Accounts ehemaliger Mitarbeiter oder Agenturen? Ist Zwei-Faktor-Authentifizierung für alle Konten mit erhöhten Rechten aktiv? Schwachstellen dieser Art werden selten theoretisch ausgenutzt – sie treffen Konten, die ohnehin schlecht abgesichert sind.
WordPress 7.0.3 ist kein Release, über den man diskutiert. Er ist einer, den man installiert. Wer seine Update-Routine ohnehin straff hält, ist heute fertig. Alle anderen haben jetzt einen konkreten Termin im Kalender.