WordPress 7.0.2 erschienen: Kleines Update, wichtige Sicherheitskorrekturen

WordPress 7.0.2 ist am 17. Juli 2026 erschienen. Auf den ersten Blick handelt es sich um ein sehr kleines Update: Es gibt keine neuen Funktionen, keine sichtbaren Änderungen im Backend und keine überarbeitete Benutzeroberfläche. Trotzdem sollte die Aktualisierung nicht aufgeschoben werden. WordPress 7.0.2 ist ein reines Sicherheitsrelease und schließt zwei Schwachstellen im Core.

Eine der behobenen Sicherheitslücken betrifft die Verarbeitung bestimmter Autorenabfragen. Die zweite liegt im Zusammenspiel aus REST-API, Batch-Anfragen und Datenbankabfragen. Nach Angaben des WordPress-Sicherheitsteams konnte diese Angriffskette unter bestimmten Voraussetzungen bis zur Ausführung fremden Codes auf dem Server führen. Deshalb lautet die klare Empfehlung: WordPress-Installationen möglichst sofort aktualisieren.

Was ändert sich mit WordPress 7.0.2?

WordPress 7.0.2 bringt keine neuen Features mit. Das Update verändert ausschließlich sicherheitsrelevante Bereiche des WordPress-Cores. Laut offizieller Dokumentation wurden drei zentrale Dateien überarbeitet:

• wp-includes/class-wp-query.php
• wp-includes/rest-api.php
• wp-includes/rest-api/class-wp-rest-server.php

Im Kern geht es um eine strengere Verarbeitung von Abfrageparametern sowie zusätzliche Schutzmechanismen innerhalb der REST-API. Außerdem wird verhindert, dass während einer bereits laufenden REST-Verarbeitung unkontrolliert ein weiterer vollständiger REST-Zyklus gestartet wird.

Weitere WordPress-Pakete wurden nicht aktualisiert. Auch der Block-Editor, Themes und die mitgelieferten JavaScript-Pakete erhalten keine funktionalen Neuerungen. Der Download ist damit klein – die sicherheitstechnische Wirkung jedoch erheblich.

Welche Sicherheitslücken wurden geschlossen?

Das WordPress-Sicherheitsteam nennt zwei gemeldete Probleme:

1. SQL-Injection über unzureichend abgesicherte Abfragen

Die erste Schwachstelle betrifft eine Konstellation, in der manipulierte Werte in WordPress-Abfragen gelangen konnten. WordPress 7.0.2 bereinigt und normalisiert die betroffenen Parameter nun konsequenter, bevor daraus eine Datenbankabfrage erstellt wird.

SQL-Injection gehört zu den gefährlichsten Klassen von Web-Sicherheitslücken. Gelingt ein Angriff, können je nach konkretem Szenario Daten ausgelesen, verändert oder für weitere Angriffsschritte missbraucht werden.

2. REST-API-Batch-Anfragen mit möglicher Codeausführung

Die zweite Lücke betrifft eine Verwechslung beziehungsweise unerwartete Verschachtelung von REST-API-Batch-Routen. In Verbindung mit einer SQL-Injection konnte die Schwachstelle laut offizieller Beschreibung bis zu Remote Code Execution (RCE) führen.

Remote Code Execution bedeutet, dass ein Angreifer unter bestimmten Bedingungen eigenen Code auf dem betroffenen Server ausführen kann. Das kann im schlimmsten Fall zur vollständigen Übernahme einer WordPress-Installation führen. Aus Sicherheitsgründen veröffentlicht WordPress zunächst nur die notwendigen Eckdaten und keine leicht nachzubauende Angriffsbeschreibung.

Wer ist betroffen?

WordPress stellt die Korrekturen nicht nur für die aktuelle 7.0-Reihe bereit, sondern auch für ältere, noch mit Sicherheitsupdates versorgte Versionszweige. Parallel zu WordPress 7.0.2 wurden deshalb passende Sicherheitsupdates für ältere WordPress-Versionen veröffentlicht.

Wer WordPress 7.0 oder 7.0.1 verwendet, sollte direkt auf WordPress 7.0.2 aktualisieren. Auch Betreiber älterer Installationen sollten im Dashboard prüfen, ob ein Sicherheitsupdate angeboten wird. Langfristig empfiehlt sich grundsätzlich der Wechsel auf die aktuelle WordPress-Hauptversion, da nur diese vollständig aktiv unterstützt wird.

Muss vor dem Update getestet werden?

Das Risiko von Kompatibilitätsproblemen ist bei diesem Release vergleichsweise gering. WordPress 7.0.2 enthält keine neuen Funktionen und verändert nur wenige Core-Dateien. Dennoch gilt auch bei einem Sicherheitsupdate: Vorher sollte ein aktuelles Backup von Datenbank und Dateien vorhanden sein.

Für geschäftskritische Websites empfehlen wir diesen Ablauf:

1. Aktuelles Backup prüfen – nicht nur erstellen, sondern sicherstellen, dass es vollständig und wiederherstellbar ist.
2. WordPress-Core aktualisieren – möglichst zeitnah und nicht erst im nächsten regulären Wartungsfenster.
3. Website kontrollieren – Startseite, Formulare, Login, Bestellprozess und wichtige Funktionen kurz testen.
4. Version verifizieren – im Dashboard muss anschließend WordPress 7.0.2 beziehungsweise die aktuelle gepatchte Version angezeigt werden.
5. Protokolle beobachten – bei professionell betriebenen Websites sollten Fehler- und Sicherheitslogs nach dem Update kontrolliert werden.

So installieren Sie WordPress 7.0.2

Das Update kann wie gewohnt im WordPress-Backend unter Dashboard → Aktualisierungen installiert werden. Bei aktivierten automatischen Hintergrundupdates wird das Sicherheitsrelease in vielen Installationen selbstständig eingespielt.

Über WP-CLI genügt folgender Befehl:

wp core update

Anschließend lässt sich die installierte Version prüfen:

wp core version

Unser Fazit zu WordPress 7.0.2

WordPress 7.0.2 ist funktional ein kleines Update, sicherheitstechnisch aber ein wichtiges. Dass nur wenige Core-Dateien verändert wurden, sollte nicht zu einer falschen Einschätzung führen: Eine mögliche Angriffskette bis hin zur Remote Code Execution macht das Release dringend.

Unsere Empfehlung lautet daher: Backup prüfen, Update sofort einspielen und die wichtigsten Website-Funktionen anschließend kurz testen. Wer automatische Core-Updates aktiviert hat, sollte trotzdem kontrollieren, ob die Installation tatsächlich auf dem aktuellen Stand ist.

Im Rahmen unserer WordPress-Wartung spielen wir sicherheitsrelevante Core-Updates zeitnah ein, prüfen die Website danach und überwachen mögliche Auffälligkeiten. Wenn Sie nicht sicher sind, ob Ihre WordPress-Installation bereits geschützt ist, können Sie eine kostenlose WordPress-Analyse anfragen.

Quelle: Offizielle WordPress-7.0.2-Versionshinweise, abgerufen am 17.07.2026.