Wenn du WordPress-Sicherheitsupdates einspielen willst, brauchst du vor allem drei Dinge: eine aktuelle Sicherung, ein Update möglichst am selben Tag und eine kurze Prüfung danach. Sicherheitsversionen wie 7.1.3 sind kleine Wartungsupdates innerhalb derselben Hauptversion. Die meisten Websites erhalten sie automatisch – vorausgesetzt, die Hintergrund-Updates funktionieren. Prüfe deshalb zuerst, ob dein System wirklich aktuell ist, statt dich darauf zu verlassen.
Warum solltest du gerade jetzt auf deine WordPress-Version schauen?
Innerhalb von drei Wochen hat das WordPress-Projekt drei Sicherheitsversionen veröffentlicht. Bei allen dreien lautet die Empfehlung, die Website sofort zu aktualisieren.
| Version | Datum | Inhalt laut Ankündigung |
|---|---|---|
| 7.1.1 | 17.09.2026 | 11 Sicherheitskorrekturen, 17 Fehlerbehebungen im Kern, 19 im Block-Editor |
| 7.1.2 | 22.09.2026 | 1 kritische Lücke: Über die Auflösung von Seitenvorlagen konnten nicht angemeldete Angreifer unter bestimmten Bedingungen eine lokale PHP-Datei einbinden, im ungünstigsten Fall bis zur Ausführung von Code |
| 7.1.3 | 06.10.2026 | 7 Sicherheitskorrekturen und 4 Fehlerbehebungen, u. a. gespeichertes XSS auf der Kommentar-Verwaltungsseite, SQL-Injection im WXR-Export und Rechteausweitung für die Rolle „Autor“ |
Details stehen in den offiziellen Ankündigungen zu WordPress 7.1.1, WordPress 7.1.2 mit der kritischen Lücke und WordPress 7.1.3. Die Korrekturen wurden laut WordPress auch in ältere Versionszweige bis 4.7 übertragen. Aktiv unterstützt wird aber nur die jeweils neueste Version – wer auf einem alten Zweig bleibt, verzichtet auf Fehlerbehebungen und neue Schutzfunktionen.
Wie schnell Lücken ausgenutzt werden, zeigt der Sicherheitsbericht 2026 von Patchstack: Bei stark angegriffenen Schwachstellen vergingen im Median rund fünf Stunden bis zur massenhaften Ausnutzung. Der WordPress-Kern selbst ist dabei selten betroffen – 2025 zählte Patchstack sechs Kern-Lücken gegenüber über 11.000 in Plugins und Themes. Gerade deshalb solltest du Kern-Updates nicht aufschieben, wenn doch einmal eine schwere Lücke dabei ist.
Welche Updates spielt WordPress automatisch ein?
Seit Version 3.7 kann WordPress Updates im Hintergrund installieren. Die Entwicklerdokumentation zum Aktualisieren unterscheidet vier Arten:
| Update-Art | Standardverhalten | Wo du es steuerst |
|---|---|---|
| Kern: Wartungs- und Sicherheitsversionen (z. B. 7.1.2 → 7.1.3) | automatisch aktiv | Dashboard → Aktualisierungen oder WP_AUTO_UPDATE_CORE |
| Kern: Hauptversionen (z. B. 7.1 → 7.2) | bei Neuinstallationen ab 5.6 aktiv, bei älteren Installationen oft nicht | Dashboard → Aktualisierungen oder WP_AUTO_UPDATE_CORE |
| Plugins und Themes | nur, wenn du sie einzeln aktivierst | Plugin- bzw. Theme-Übersicht oder Filter |
| Übersetzungen | automatisch aktiv | Filter auto_update_translation |
Wichtig: Erkennt WordPress im Hauptverzeichnis eine Versionsverwaltung wie Git, werden automatische Hauptversions-Updates standardmäßig ausgeschaltet. Auch fehlende Schreibrechte, ein Eintrag in der wp-config.php oder ein Plugin können Hintergrund-Updates blockieren. Viele Hoster übernehmen Kern-Updates zusätzlich selbst – frag nach, ob und wann das passiert.
Wie spielst du ein WordPress-Sicherheitsupdate Schritt für Schritt ein?
1. Version und Update-Status prüfen
Öffne Dashboard → Aktualisierungen. Steht dort, dass du die aktuelle Version nutzt und künftige Sicherheitsupdates automatisch eingespielt werden, ist der Kern auf Stand. Ergänzend lohnt ein Blick in Werkzeuge → Website-Zustand: Der Test meldet laut Dokumentation zum Website-Zustand ausdrücklich, wenn Hintergrund-Updates nicht wie erwartet funktionieren. Im Reiter „Bericht“ siehst du außerdem, für welche Plugins und Themes automatische Updates aktiv sind.
2. Aktuelle Sicherung anlegen und prüfen
Die offizielle Anleitung empfiehlt vor jedem Update eine Sicherung von Datenbank und allen Dateien, inklusive einer angepassten .htaccess. Ohne vollständige Sicherung von vorher ist ein sauberes Zurückrollen laut Dokumentation „nahezu unmöglich“. Prüfe, ob dein Backup wirklich vollständig ist und wo es liegt: Eine Sicherung, die nur auf demselben Server gespeichert ist, hilft bei einem Serverproblem nicht. Worauf du bei Backups beim Hoster achten solltest, liest du in unserem Beitrag WordPress-Hosting prüfen.
3. Entscheiden: sofort einspielen oder erst testen?
Für die Abwägung hilft eine einfache Regel:
- Sicherheits- und Wartungsversion (dritte Stelle ändert sich, z. B. 7.1.3): sofort einspielen. Diese Versionen enthalten gezielte Korrekturen und keine neuen Funktionen.
- Hauptversion (zweite Stelle ändert sich, z. B. 7.2): bei Shops, Mitgliederbereichen oder stark angepassten Themes zuerst auf einer Testumgebung prüfen und dann zeitnah übernehmen.
- Plugin-Update mit Sicherheitshinweis: so behandeln wie eine Sicherheitsversion des Kerns. Wie du Plugins grundsätzlich bewertest, zeigt die Anleitung WordPress-Plugin prüfen.
4. Update einspielen
Im Backend klickst du unter Dashboard → Aktualisierungen auf „Jetzt aktualisieren“. WordPress schaltet dabei kurz den Wartungsmodus ein und danach wieder aus. Wer per Kommandozeile arbeitet, nutzt WP-CLI: wp core update spielt die neueste Version ein, wp core update-db aktualisiert bei Bedarf die Datenbank. Bei mehreren Websites sparst du damit viel Zeit.
Bei einem manuellen Update per FTP gilt laut Dokumentation: Deaktiviere vorher alle Plugins und ersetze nur die Kerndateien. wp-config.php, der Ordner wp-content und eigene .htaccess-Regeln bleiben unangetastet.
5. Nach dem Update prüfen
Ein erfolgreiches Update heißt noch nicht, dass alles funktioniert. Prüfe in wenigen Minuten die Punkte, an denen Fehler am meisten kosten:
- Startseite, ein Beitrag und eine Unterseite laden ohne Fehlermeldung.
- Anmeldung im Backend und Speichern eines Entwurfs funktionieren.
- Kontaktformular abschicken und Eingang prüfen – besonders, wenn Anfragen automatisch weiterverarbeitet werden wie in unserer Anleitung Kontaktanfragen automatisieren.
- Bei Shops: Warenkorb und Kasse bis kurz vor die Zahlung durchklicken.
- Optional per WP-CLI:
wp core verify-checksumsvergleicht die installierten Kerndateien mit den Prüfsummen von WordPress.org und meldet veränderte Dateien.
Merkst du danach eine langsamere Seite, hilft unser Leitfaden WordPress-Website schneller machen bei der Ursachensuche.
Was tust du, wenn nach dem Update etwas nicht funktioniert?
Die meisten Probleme lassen sich mit Bordmitteln eingrenzen. Diese drei Fälle kommen am häufigsten vor:
Die Website hängt im Wartungsmodus
Bricht ein Update ab, bleibt im Hauptverzeichnis die Datei .maintenance liegen. Die Hilfe zur Aktualisierungsseite empfiehlt, diese Datei zu löschen und das Update erneut zu starten. Warte vorher ein paar Minuten, damit du kein noch laufendes Update unterbrichst.
Ein Plugin oder Theme verursacht einen schweren Fehler
Seit WordPress 5.2 gibt es den Wiederherstellungsmodus für schwere Fehler: WordPress schickt eine E-Mail mit einem geheimen Link an die Admin-Adresse. Über diesen Link meldest du dich an, das fehlerhafte Plugin oder Theme wird für dich pausiert und du kannst es deaktivieren oder ersetzen. Stelle deshalb sicher, dass die Admin-E-Mail-Adresse in den Einstellungen aktuell ist und tatsächlich gelesen wird.
Ein automatisches Plugin-Update ist fehlgeschlagen
Seit WordPress 6.3 legt WordPress bei manuellen Plugin- und Theme-Updates eine temporäre Sicherung an und stellt sie wieder her, wenn die Aktualisierung selbst scheitert. Seit 6.6 prüft WordPress nach automatischen Updates aktiver Plugins per Abruf der Startseite, ob ein schwerer PHP-Fehler auftritt. Ist das der Fall, wird die vorherige Version wiederhergestellt und du bekommst eine E-Mail. Das ersetzt kein Backup: Fehler, die nur bestimmte Seiten oder Funktionen betreffen, erkennt diese Prüfung nicht.
Wie stellst du automatische Updates sinnvoll ein?
Für die meisten Websites ist diese Grundeinstellung sinnvoll: Wartungs- und Sicherheitsversionen des Kerns laufen automatisch, Hauptversionen spielst du nach kurzer Prüfung selbst ein. In der wp-config.php sieht das so aus:
define( 'WP_AUTO_UPDATE_CORE', 'minor' );Mit dem Wert true erhält deine Website alle Kern-Updates automatisch, mit false keine. Die Konstante AUTOMATIC_UPDATER_DISABLED schaltet sämtliche automatischen Updates ab – auch die Sicherheitsversionen. Setze sie nur, wenn ein Hoster oder eine Wartungsroutine die Updates nachweislich übernimmt. Die Benachrichtigungs-E-Mails nach Kern-Updates solltest du nicht abschalten: Sie sind oft der erste Hinweis, dass ein Update gelaufen oder gescheitert ist.
Checkliste: WordPress-Sicherheitsupdates einspielen
- Dashboard → Aktualisierungen geöffnet und installierte Version mit der neuesten verglichen
- Website-Zustand meldet keine Probleme mit Hintergrund-Updates
- Vollständige Sicherung von Dateien und Datenbank vorhanden, nicht nur auf demselben Server
- Sicherheitsversion am selben Tag eingespielt, Hauptversion vorher getestet
- Startseite, Backend, Formular und gegebenenfalls Kasse nach dem Update geprüft
- Admin-E-Mail-Adresse aktuell, damit Fehler- und Wiederherstellungs-Mails ankommen
- Automatische Updates bewusst eingestellt und mit dem Hoster abgestimmt
Häufige Fragen
Muss ich 7.1.3 einspielen, wenn ich 7.1.2 schon habe?
Ja. Jede Version enthält eigene Korrekturen. 7.1.3 schließt sieben weitere Lücken, die in 7.1.2 noch offen waren.
Woran erkenne ich, ob meine Website automatisch aktualisiert wurde?
WordPress verschickt nach automatischen Kern-Updates eine E-Mail an die Admin-Adresse. Sicherer ist der direkte Blick in Dashboard → Aktualisierungen, wo die installierte Version steht.
Reicht das automatische Zurücksetzen bei Plugins als Schutz?
Nein. Es greift nur bei schweren PHP-Fehlern, die beim Abruf der Startseite auftreten. Für alle anderen Fälle brauchst du eine eigene Sicherung.
Sollte ich mit Updates warten, bis andere Nutzer Fehler gemeldet haben?
Bei Sicherheitsversionen nicht. Das Risiko einer offenen, öffentlich bekannten Lücke ist meist größer als das Risiko eines kleinen Wartungsupdates. Bei Hauptversionen ist ein kurzer Test auf einer Testumgebung dagegen sinnvoll.
