Millionen WordPress-Installationen laufen seit dem Release von Version 7.0.3 gegen eine bekannte Schwachstelle. Das Sicherheitsteam hinter dem Content-Management-System hat die Lücke als High Severity eingestuft – eine Einschätzung, die das Team selten vergibt. Betroffen ist eine Cross-Site-Scripting-Schwachstelle (XSS), über die Angreifer schadhaften Code in Seiten einschleusen können.
Für Betreiber reiner Blogs wäre das unangenehm. Für Shop-Betreiber ist es ein akutes Risiko: Wer WooCommerce einsetzt, verarbeitet Kundendaten, Zahlungsinformationen und Bestellungen über genau die Infrastruktur, die jetzt angreifbar war. Ein erfolgreicher XSS-Angriff kann Sessions übernehmen, Admin-Zugänge kapern oder Kunden beim Checkout auf gefälschte Bezahlseiten umleiten.
Was genau steckt hinter der XSS-Lücke in WordPress 7.0.3?
Cross-Site-Scripting gehört zu den am häufigsten ausgenutzten Angriffsvektoren im Web. Dabei schleust ein Angreifer JavaScript-Code über Eingabefelder, URLs oder Kommentarfunktionen in eine Seite ein. Der Code wird dann im Browser anderer Besucher ausgeführt – etwa im Backend eines eingeloggten Administrators.
Die kurze Antwort auf die entscheidende Frage: Ja, die Lücke betrifft den Core, nicht nur einzelne Plugins. Genau deshalb hat das WordPress-Sicherheitsteam einen eigenen Security Release außerhalb des regulären Zyklus nachgeschoben. Solche außerplanmäßigen Veröffentlichungen sind selten und signalisieren, dass die Entwickler eine aktive Ausnutzung für realistisch halten. Laut Wordfence und anderen Sicherheitsdienstleistern werden bekannte WordPress-Lücken typischerweise innerhalb weniger Tage nach Veröffentlichung automatisiert gescannt und angegriffen.
Sind WooCommerce-Shops besonders gefährdet?
Ja, aus zwei Gründen. Erstens sind E-Commerce-Seiten für Angreifer lukrativer als jede andere WordPress-Nutzung: Kundendaten, gespeicherte Zahlungsarten, Gutscheincodes. Zweitens erweitern Shops ihre Angriffsfläche durch Dutzende Plugins – jedes davon eine potenzielle zusätzliche Einstiegspforte. Die aktuelle Core-Lücke kommt obendrauf.
Dazu ein realistisches Szenario: Ein Angreifer platziert über die Schwachstelle ein Skript, das beim Login eines Shop-Managers dessen Session-Cookie ausliest. Mit dieser Session lässt sich das Backend übernehmen, ohne ein Passwort zu knacken. Von dort aus sind Bestelldatenbank, Kundenliste und im schlimmsten Fall die Payment-Schnittstellen erreichbar. Für Händler ab einer Million Euro Jahresumsatz bedeutet das nicht nur Umsatzverlust, sondern ein DSGVO-relevantes Meldeereignis binnen 72 Stunden.
Update-Prozess: So gehen Shop-Betreiber jetzt vor
Der unmittelbare Handlungsimpuls lautet: zeitnah aktualisieren, aber nicht blind. Wer einen produktiven Shop betreibt, sollte das Update kontrolliert einspielen:
- Vollständiges Backup von Dateien und Datenbank anlegen, bevor irgendetwas angefasst wird.
- Das Update zuerst auf einer Staging-Umgebung testen – besonders Shops mit vielen Plugins oder individuellen Themes.
- Prüfen, ob automatische Core-Updates aktiv sind; bei Minor- und Security-Releases installiert WordPress standardmäßig oft selbstständig, ein Blick ins Backend schafft Klarheit.
- Nach dem Update Checkout, Login und Kundenkonto funktional durchtesten.
Wer die Admin-Oberfläche zusätzlich absichern will, findet mit Lösungen wie Wordfence oder Solid Security etablierte Werkzeuge, die Login-Versuche begrenzen und bekannte Angriffsmuster blockieren. Das ersetzt das Core-Update nicht, reduziert aber das Restrisiko in der Zeit bis zur Aktualisierung.
Öffentlich dokumentierte Lücken sind Einladungen. Die Zeit zwischen Release und Update ist das Fenster, in dem Angriffe passieren.
Die Versionshistorie zeigt, dass WordPress auf Schwachstellen dieser Kategorie zuverlässig und schnell reagiert – das Problem sitzt fast nie im Core, sondern in der Update-Disziplin der Betreiber. Schätzungen von Sicherheitsfirmen gehen davon aus, dass ein erheblicher Teil gehackter WordPress-Seiten zum Zeitpunkt des Angriffs auf veralteten Versionen lief. Mit 7.0.3 liegt der Patch auf dem Tisch. Die nächsten Tage entscheiden, wer ihn einspielt – und wer zur Statistik gehört.