WordPress 7.0.3 steht seit dem 6. August bereit und schließt zwölf Sicherheitslücken auf einmal. Die gefährlichste sitzt noch vor dem Login: ein Cross-Site-Scripting im Anmeldebildschirm, das bis zur Ausführung von PHP-Code reichen kann. Für Betreiber heißt das, die Aktualisierung gehört heute erledigt und nicht auf die nächste Wartung geschoben.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Sicherheitsupdate WordPress 7.0.3 erschien am 6. August mit einer klaren Ansage: sofort einspielen. Keine drei Wochen nach dem erzwungenen Sprung auf 7.0.2 bessert die Kernsoftware erneut nach, diesmal gegen zwölf gemeldete Schwachstellen auf einmal.
Das Wichtigste in Kürze
- Zwölf Sicherheitslücken geschlossen, darunter fünf Cross-Site-Scripting-Fehler.
- Kritischster Fall: eine Pre-Auth-Lücke am Login (CVE-2026-64638) mit Weg bis zur PHP-Ausführung.
- Rückportierung bis zurück zum Branch 4.7, automatische Hintergrund-Updates starten nach und nach.
- WordPress rät ausdrücklich zur sofortigen Aktualisierung.
Was steckt in WordPress 7.0.3?
Der Anmeldebildschirm gilt als letzte Bastion vor dem Backend. Genau dort sitzt die schwerste der zwölf Lücken. Reflektiertes XSS noch vor jeder Anmeldung erlaubt Angreifern, präparierte Aufrufe einzuschleusen, im schlimmsten Fall bis zur Ausführung von PHP-Code auf dem Server. Gemeldet hat den Fund das Team von pwn.ai, die Kennung lautet CVE-2026-64638.
Die übrigen elf Korrekturen verteilen sich über bekannte Angriffsklassen. Vier gespeicherte XSS-Fehler treffen Redakteure ab der Rolle Contributor, etwa über die Emoji-Einstellungen und die Schnellbearbeitung. Hinzu kommen eine Rechteausweitung in Multisite-Netzwerken, ein Informationsabfluss aus passwortgeschützten Beiträgen und eine Server-Side-Request-Forgery in der URL-Prüfung. Welche Klasse wie oft vertreten ist, zeigt die folgende Übersicht.
Reflektiertes Cross-Site-Scripting noch vor der Anmeldung, mit möglichem Weg bis zur Ausführung von PHP-Code. Gemeldet von pwn.ai, geführt als CVE-2026-64638.
Wie dringend ist das Update wirklich?
Ein reines Contributor-Problem wäre halb so wild. Der Login-Fall hebt 7.0.3 aber auf die Stufe sofort handeln, weil hier keine Vorab-Anmeldung nötig ist. WordPress verteilt die Korrekturen über Backports bis zurück zum Branch 4.7 und startet die automatischen Hintergrund-Updates nach und nach. Verlassen sollte sich darauf niemand, denn erzwungene Updates erreichen Installationen hinter Firewalls oder in Deployment-Pipelines oft nicht zuverlässig.
Der Rhythmus erinnert an den frühen Sommer. Erst Mitte Juli zwang die SQL-Injection in 7.0.2 zum ungeplanten Update, jetzt folgt der Nachschlag. Bemerkenswert am Rande: Eine der zwölf Lücken, eine CSS-Injection über einen umgangenen Filter, meldete Anthropic, das Unternehmen hinter dem KI-Modell Claude. Die Sicherheitsforschung an WordPress kommt damit längst auch aus der KI-Branche.
Ein Sicherheitsrelease im Drei-Wochen-Takt ist kein Grund zur Panik, sondern das normale Betriebsgeräusch einer Software, die ein gutes Drittel des Webs trägt. Den Login-Screen jetzt nicht zu patchen, verwechselt Bequemlichkeit mit Vertrauen.
— Michael Dobler, Herausgeber Dr. Web
Was Betreiber jetzt tun sollten
Der schnellste Weg führt über das Dashboard unter Werkzeuge und Aktualisierungen, alternativ per direktem Download aus der offiziellen Release-Ankündigung. Vor dem Einspielen gehört ein Backup angelegt und, wo vorhanden, das Update zuerst auf einer Staging-Kopie geprüft. Kunden von Managed-Hosting sind meist schon versorgt, weil viele Anbieter aus unserem WordPress-Hosting-Vergleich Kern-Sicherheitsreleases selbst einspielen.
Bis alle Backports fertig sind, bleibt eine Regel sinnvoll: Version 7.0.3 heute prüfen und heute einspielen. Ein offener Login ist das Risiko keiner aufgeschobenen Wartung wert.
Mehr Newshunger?
- WordPress 7.0.2: Zwangsupdate gegen SQL-Injection und RCE
- Wie fand eine KI die WordPress-Lücke für 22 Euro?
- 300 Zero-Days in 72 Stunden: KI-Pipeline zerlegt WordPress-Plugins
- Kirki-Sicherheitslücke bedroht 150.000 WordPress-Sites
- Breeze Cache offen: 400.000 WordPress-Sites in Gefahr
- Smart Slider 3: Was der Lieferketten-Angriff lehrt
