Website-Sicherheit: Was die WordPress-Lücke vom Juli 2026 für Betriebe bedeutet

Am 17. Juli 2026 hat WordPress ein Sicherheitsrelease veröffentlicht. Laut WordPress.org behebt Version 7.0.2 eine kritische und eine hochgradige Sicherheitslücke (CVE-2026-63030 und CVE-2026-60137). Für ältere Versionslinien gab es Korrekturen in 6.9.5 und 6.8.6. Das WordPress.org-Team hat für betroffene Seiten erzwungene Updates über das Auto-Update-System aktiviert und rät, Seiten sofort zu aktualisieren.

Am 20. Juli 2026 warnte die neuseeländische Cyber-Behörde NCSC, dass die Lücken bereits aktiv ausgenutzt werden. Nach ihrer Beschreibung können Angreifer die beiden Fehler kombinieren, um ohne Anmeldung fremden Programmcode auszuführen.

Was das für Betriebe heißt

Die Lücke betraf den Kern von WordPress und nicht ein einzelnes Zusatzmodul. Wer WordPress nutzt, ist damit unabhängig von der Zahl der Plugins betroffen gewesen. Ob die eigene Seite aktualisiert wurde, hängt davon ab, wer sie betreut und wie die Updates eingerichtet sind.

Drei Fragen an den, der Ihre Website betreut

1. Welche WordPress-Version läuft aktuell?
2. Wer spielt Updates ein, und wer übernimmt bei Urlaub oder Krankheit?
3. Wie schnell geschieht das nach einer Sicherheitswarnung, und wer erfährt davon?

Kann eine dieser Fragen niemand klar beantworten, lohnt sich ein kurzes Gespräch mit dem Dienstleister oder der zuständigen Person im Haus.

Was dieser Beitrag nicht leistet

Er ersetzt keine Sicherheitsprüfung Ihrer Seite und gibt kein Sicherheitsversprechen. Er soll helfen, die Zuständigkeit zu klären.

Wenn Sie die drei Fragen für Ihre Website gemeinsam durchgehen möchten, schreiben Sie uns über das Kontaktformular. Das Gespräch ist unverbindlich.

Quellen: WordPress.org, "WordPress 7.0.2 Release", 17.07.2026, https://wordpress.org/news/2026/07/wordpress-7-0-2-release/ ; NCSC Neuseeland, Warnung CVE-2026-63030 und CVE-2026-60137, 20.07.2026, https://www.ncsc.govt.nz/alerts/cve-2026-63030-and-cve-2026-60137-affecting-wordpress/