WordPress 7.1.3: sieben Sicherheitslücken geschlossen
WordPress 7.1.3 ist am 6. Oktober 2026 erschienen, ausdrücklich als Security- und Maintenance-Release. Geschlossen werden sieben Sicherheitslücken im Core, dazu kommen vier weitere Fehlerbehebungen. WordPress empfiehlt die sofortige Aktualisierung betroffener Installationen – und das nur rund zwei Wochen nach dem letzten Sicherheitsupdate 7.1.2.
Bestand prüfen → Update → Kurztest
DIE LÜCKEN
Sieben Sicherheitslücken im Core geschlossen
WordPress veröffentlicht in der Ankündigung keine CVE-Nummern und auch keine CVSS-Werte, sondern beschreibt die betroffenen Funktionen direkt. Aus der Zahl sieben allein lässt sich deshalb nicht ableiten, dass alle sieben Lücken gleich gefährlich wären. Die drei auffälligsten im Überblick:
Stored XSS über ausstehende Kommentare
Ein manipuliertes, noch nicht freigegebenes Kommentar konnte JavaScript im Administrationsbereich ausführen, sobald die Moderationsansicht geöffnet wird. Gemeldet von Thomas Chauchefoin (Trail of Bits).
SQL Injection beim WXR-Export
Eine Second-Order-SQL-Injection im WordPress-eigenen WXR-Exportformat: Manipulierte Daten werden erst gefährlich, wenn ein späterer Export sie erneut verarbeitet. Gemeldet von Anthropic.
Kommentare privater Beiträge sichtbar
Kommentare von privaten und unveröffentlichten Beiträgen konnten ohne Anmeldung eingesehen werden – relevant vor allem bei Redaktionssystemen und noch nicht veröffentlichten Inhalten. Gemeldet von Ananda Dhakal (Patchstack).
Die restlichen vier Lücken: Ein Autoren-Account konnte Beiträge unberechtigt als „sticky“ markieren (eine Berechtigungsabweichung, ebenfalls von Anthropic gemeldet). Die Verarbeitung von Imgur-Embeds enthielt ein XSS-Risiko. Eine Schwachstelle in WP_Http::make_absolute_url() konnte zu einem Denial of Service führen – ebenfalls von Anthropic gemeldet. Und dynamische Hooks nach dem Muster {status}_{type} ließen sich so manipulieren, dass sie mit anderen Action-Namen kollidierten. Auffällig: Drei der sieben gemeldeten Schwachstellen in diesem Release gehen auf Meldungen von Anthropic zurück.
UPDATE-TEMPO
Zwei Sicherheitsupdates in zwei Wochen
WordPress 7.1.2 wurde erst am 22. September 2026 veröffentlicht und schloss eine kritische, nicht authentifizierte Path-Traversal-Lücke. Jetzt, gut zwei Wochen später, folgt 7.1.3. Die Sicherheitskorrekturen werden dabei nach eigenen Angaben bis zum 4.7-Zweig zurückportiert, soweit für die jeweilige Version erforderlich.
7.0.x · 6.9.x · 6.8.x · 6.7.x · 6.6.x · 6.5.x · 6.4.x · 6.3.x · 6.2.x · 6.1.x · 6.0.x · 5.x · 4.9.x · 4.8.x · 4.7.x
Nur die aktuelle Version wird aktiv gepflegt
Backports sind eine Zusatzabsicherung für Installationen, die (noch) nicht auf der neuesten Major-Version laufen. Aktiv unterstützt wird ausschließlich die jeweils aktuelle Version – wer eine alte Version betreibt, sollte nicht automatisch davon ausgehen, dass der Fix bereits verfügbar ist.
Sicherheitsupdates werden nicht gesammelt
Ist ein Problem behoben, landet der Fix zeitnah als Maintenance-Release im jeweiligen Branch, statt bis zu einem größeren Sammel-Release zu warten. Für Betreiber heißt das: Die Update-Strategie sollte nicht auf „alle paar Monate mal schauen“ aufbauen.
Eigene Version prüfen
Im Dashboard unter Werkzeuge → Website-Zustand oder direkt unter Dashboard → Updates lässt sich prüfen, ob die eigene Installation den Fix bereits enthält.
FÜR HOSTING-KUNDEN
Was nach dem Update kurz zu prüfen ist
7.1.3 verändert deutlich weniger als ein großes Feature-Release wie 7.1 selbst. Trotzdem lohnt sich nach jedem Core-Update ein kurzer Funktionstest – das ist schneller erledigt als die spätere Fehlersuche.
Frontend
- Frontend erreichbar?
- Startseite und wichtige Unterseiten laden?
Backend
- Login funktioniert?
- Beiträge lassen sich bearbeiten?
Funktionen
- Medien-Upload, Formulare, Caching?
- Cronjobs laufen?
Technik
- WooCommerce & Zahlungen, kritische Plugins?
- PHP-Error-Log unauffällig?
CORE VS. PLUGINS
Ein aktuelles Plugin ersetzt keinen aktuellen Core
Die Sicherheitslücken sitzen im WordPress-Core, ein Plugin-Update ersetzt diesen Fix nicht. Eine Website mit aktuellem Elementor oder WooCommerce bleibt auf einer verwundbaren Core-Version, solange WordPress selbst nicht aktualisiert wurde. Elementor empfiehlt dabei ausdrücklich, vor Updates ein Backup anzulegen und Updates zunächst kontrolliert zu testen – Core-, Plugin- und Theme-Updates behandeln wir deshalb getrennt.
AUTOMATISCHE UPDATES
Nicht blind auf Automatik verlassen
WordPress kann Sicherheitsupdates automatisch im Hintergrund installieren, sofern die Installation das unterstützt und entsprechend konfiguriert ist. Bei kleinen, normalen Websites ist das meist sinnvoll. Bei einem Shop, einer Mitgliederplattform oder einer Website mit vielen individuellen Erweiterungen würden wir trotzdem kontrollieren, ob das Update erfolgreich durchgelaufen ist – nicht nur im Dashboard nachsehen, sondern die Seite einmal wirklich öffnen.
CHECKLISTE
Was wir bei einem Hostingserver prüfen
Bei vielen WordPress-Installationen ist weniger das einzelne Update das Problem, sondern die Frage, ob wirklich alle Installationen gefunden werden.
Bestandsaufnahme
Eine einfache Bestandsaufnahme kann sinnvoll sein, zum Beispiel per WP-CLI:
wp core version --allJe nach Hostingumgebung geht das auch über die vorhandene Verwaltungs- oder Update-Infrastruktur.
Wichtig: Nicht nur die aktiv betreuten Websites prüfen. Alte Testinstallationen, Staging-Systeme und vergessene Subdomains werden bei Sicherheitsupdates gerne übersehen, gerade weil sie meist weniger gut gepflegt werden.
FAZIT
WordPress 7.1.3 gehört installiert
7.1.3 ist kein Update, das wegen einer neuen Funktion Aufmerksamkeit bekommt. Es schließt sieben Sicherheitsprobleme im Core – darunter eine Stored-XSS-Schwachstelle in der Kommentarverwaltung, eine Second-Order-SQL-Injection im WXR-Export und die mögliche Offenlegung von Kommentaren privater Beiträge – und behebt vier weitere Core-Fehler. WordPress nennt dabei keine bereits laufenden Angriffe auf die geschlossenen Schwachstellen. Das ist aber kein Grund, das Update auszusitzen: Sobald eine Lücke öffentlich dokumentiert ist, können auch Angreifer die Details nutzen.
Unser Vorgehen: Backup prüfen, auf 7.1.3 aktualisieren, danach kurz Frontend und Backend kontrollieren. Bei Shops zusätzlich Bestellung, Warenkorb und Zahlung prüfen, bei Elementor-Seiten den Editor öffnen. Die Entwicklung läuft bereits Richtung WordPress 7.2, geplant für den 8. Dezember 2026 – das ändert aber nichts daran, dass 7.1.3 das Update ist, das heute auf die Systeme gehört. Mehr zum vorherigen Sicherheitsupdate: WordPress 7.1.2.
FAQ
Häufige Fragen zu WordPress 7.1.2
WordPress-Updates nicht selbst prüfen?
Updates gehören bei Hosting- und Webdesign-Projekten zu unserem Alltag. Sprechen Sie uns an.
