WordPress hat in 41 Tagen vier Sicherheitsupdates für den Kern veröffentlicht: 7.1.1 am 17. September, 7.1.2 am 22. September, 7.1.3 am 6. Oktober und 7.1.4 am 28. Oktober. Seit Mitte Juli erschienen sieben solcher Updates, die zusammen mehr als 50 Sicherheitslücken der Stufen kritisch und hoch schließen. Hintergründe und neue Abläufe beschreibt die Zwischenbilanz der Core Security Initiative.
Seit dem 28. August soll die Initiative Updates beschleunigen und Schwachstellen aufspüren, bevor jemand sie von außen meldet.
Warum kommen so viele Sicherheitsupdates?
Die Zahl der gemeldeten Schwachstellen ist 2026 sprunghaft gestiegen. WordPress sammelt solche Meldungen über ein Bug-Bounty-Programm auf der Plattform HackerOne und zahlt dort Prämien für gefundene Sicherheitslücken. Rund zehn Jahre lang gingen 20 bis 30 Meldungen im Monat ein, im Juli dagegen 450 und im August 773. Seit Jahresbeginn kamen mehr als 3.000 Meldungen zusammen, mehr als in den zwölf Jahren davor insgesamt. WordPress führt einen großen Teil davon auf ernst zu nehmende Sicherheitsforschung zurück, die mit KI-Werkzeugen schneller vorankommt.
Sicherheitsmeldungen an WordPress im Monat
Eingänge im Bug-Bounty-Programm auf HackerOne, ohne Spam und ungültige Meldungen
- Rund zehn Jahre lang20–30
- Juli 2026450
- August 2026773
Für die Jahre vor 2026 nennt WordPress nur eine Spanne, keine Monatswerte
Quelle: WordPress Security
Gegen den Andrang setzt das Sicherheitsteam selbst auf KI. Ein System liest jede eingehende Meldung, stellt den gemeldeten Fehler in einer geschützten Testumgebung nach und schlägt eine Einstufung vor; die Entscheidung treffen weiterhin Sicherheitsforscher. Die Warteschlange ungeprüfter Meldungen schrumpfte von 359 auf eine zweistellige Zahl. Dieselben Werkzeuge suchen inzwischen auch selbst nach Schwachstellen im Kern, mit frei herunterladbaren Sprachmodellen. Zusätzlich nimmt WordPress am OSS Scanner von Anthropic teil, der Open-Source-Projekte kostenlos prüft. Zwei der Sicherheitslücken, die WordPress 7.1.4 schließt, hat Anthropic gemeldet.
Was ändert sich an den Updates?
Sicherheitsupdates erscheinen jetzt in zwei Wellen. Zuerst bekommen die meistgenutzten WordPress-Versionen ihre Korrektur, danach die älteren Versionsreihen bis hinunter zu 4.7. Aktiv unterstützt wird nur die jeweils neueste Version. Die Übertragung auf ältere Versionsreihen leistet WordPress freiwillig, bei 7.1.4 lief sie nach der Veröffentlichung noch weiter.
Für jedes Update steht eine feste Besetzung bereit, von der Leitung über die Paketerstellung bis zu jemandem, der auf WordPress.org die automatischen Updates und Sprachpakete freischaltet. 73 Prozent der 109 Arbeitsschritte sind inzwischen automatisiert. Das Erstellen der fertigen Pakete bleibt bewusst einer kleinen Gruppe vorbehalten, um Angriffe auf die Lieferkette zu erschweren.
Was das für dich bedeutet
Der kurze Takt dürfte bleiben, solange so viele Meldungen eingehen. Am besten schützt dich deshalb die automatische Aktualisierung: Bestehende Installationen spielen Wartungs- und Sicherheitsupdates von sich aus ein, seit WordPress 5.6 neu angelegte Websites auch die großen Versionssprünge. Unter Dashboard > Aktualisierungen siehst du, welche Variante bei deiner Website gilt.
- Prüf am besten selbst oder mit deiner Agentur, ob in der Datei wp-config.php
AUTOMATIC_UPDATER_DISABLED oder WP_AUTO_UPDATE_CORE mit dem Wert false steht. Beide Einträge schalten die automatischen Updates für den Kern ab. - Läuft deine Website noch auf einer älteren, wenig genutzten Versionsreihe, kommt die Korrektur dort erst mit der zweiten Welle an. Ein Wechsel auf 7.1 verkürzt die Zeit, in der eine bekannte Sicherheitslücke bei dir offen bleibt.
- Die Initiative betrifft nur den WordPress-Kern. Plugins und Themes aktualisiert WordPress nur in Sonderfällen selbst; welche das sind, legt das Sicherheitsteam fest. In der Plugin-Übersicht schaltest du automatische Updates für jedes Plugin einzeln ein.
Für die Sicherheitslücke im Update-Vorgang, die 7.1.4 schließt, zählt Wordfence seit dem 28. Oktober gezielte Angriffsversuche. Betreust du deine Website selbst, erklärt ein Einsteigerkurs zu WordPress die Grundlagen von der Installation an.
WordPress hat die Zwischenbilanz am 29. Oktober 2026 veröffentlicht.
Quellen
